¶ Модуль 3. Эксплуатация объектов сетевой инфраструктуры
Необходимо разработать и настроить инфраструктуру информационно-коммуникационной системы согласно предложенной топологии (см. Рисунок 3).
Задание Модуля 3 содержит миграцию пользователей, развёртывание и настройку центра сертификации, выдачу сертификатов веб серверам для шифрования трафика, настройку шифрованного туннеля, настройку межсетевого экрана, принт-сервера, сервера логирования и мониторинга, автоматизации на основе инфраструктуры открытых ключей, настройку защиты протокола ssh от перебора, настройку программного обеспечения для создания архивных копий
В ходе проектирования и настройки сетевой инфраструктуры следует заносить записи в отчет о своих действиях, когда это требуется в задании.
Отчет по окончании работы следует сохранить на диске рабочего места и задать имя файла без учёта расширения - ФамилияУчастникаМодуль3.
1. Выполните импорт пользователей в домен au-team.irpo:
- В качестве файла источника выберите файл users.csv располагающийся в образе Additional.iso
- Пользователи должны быть импортированы со своими паролями и другими атрибутами
- Убедитесь, что импортированные пользователи могут войти на машину HQ-CLI
2. Выполните настройку центра сертификации на базе HQ-SRV:
- Необходимо использовать отечественные алгоритмы шифрования
- Сертификаты выдаются на 30дней
- Обеспечьте доверие сертификату для HQ-CLI
- Выдайте сертификаты веб серверам
- Перенастройте ранее настроенный реверсивный прокси nginx на протокол https
- При обращении к веб серверам https://web.au-team.irpo и https://docker.au-team.irpo у браузера клиента не должно возникать предупреждений.
3. Перенастройте ip-туннель с базового до уровня туннеля, обеспечивающего шифрование трафика
- Настройте защищенный туннель между HQ-RTR и BR-RTR
- Внесите необходимые изменения в конфигурацию динамической маршрутизации, протокол динамической маршрутизации должен возобновить работу после перенастройки туннеля
- Выбранное программное обеспечение, обоснование его выбора и его основные параметры, изменения в конфигурации динамической маршрутизации отметьте в отчёте.
4. Настройте межсетевой экран на маршрутизаторах HQ-RTR и BR-RTR на сеть в сторону ISP
- Обеспечьте работу протоколов http, https, dns, ntp, icmp или дополнительных нужных протоколов
- Запретите остальные подключения из сети Интернет во внутреннюю сеть.
5. Настройте принт-сервер cups на сервере HQ-SRV:
- Опубликуйте виртуальный pdf-принтер
- На клиенте HQ-CLI подключите виртуальный принтер как принтер по умолчанию.
6. Реализуйте логирование при помощи rsyslog на устройствах HQ-RTR, BR-RTR, BR-SRV:
- Сервер сбора логов расположен на HQ-SRV, убедитесь, что сервер не является клиентом самому себе
- Приоритет сообщений должен быть не ниже warning
- Все журналы должны находиться в директории /opt. Для каждого устройства должна выделяться своя поддиректория, которая совпадает с именем машины
- Реализуйте ротацию собранных логов на сервере HQ-SRV:
- Ротируются все логи, находящиеся в директории и поддиректориях /opt
- Ротация производится один раз в неделю
- Логи необходимо сжимать
- Минимальный размер логов для ротации – 10МБ.
7. Насервере HQ-SRV реализуйте мониторинг устройств с помощью открытого программного обеспечения
- Обеспечьте доступность по URL - http://mon.au-team.irpo для сетей офиса HQ, внесите изменения в инфраструктуру разрешения доменных имён
- Мониторить нужно устройства HQ-SRV и BR-SRV
- В мониторинге должны визуально отображаться нагрузка на ЦП, объем занятой ОП и основного накопителя
- Логин и пароль для службы мониторинга admin P@ssw0rd
- Организуйте доступ к мониторингу для HQ-CLI, без внешнего доступа
- Выбор программного обеспечения, основание выбора и основные параметры с указанием порта, на котором работает мониторинг, отметьте в отчёте
8. Реализуйте механизм инвентаризации машин HQ-SRV и HQ-CLI через Ansible на BR-SRV:
- Плейбук должен собирать информацию о рабочих местах:
- Имя компьютера
- IP-адрес компьютера
- Плейбук, должен быть размещен в директории /etc/ansible, отчёты в поддиректории PC-INFO, в формате .yml. Файлы должны называется именем компьютера, который был инвентаризирован
- Файл плейбука располагается в образе Additional.iso в директории playbook
9. На HQ-SRV настройте программное обеспечение fail2ban для защиты ssh
- Укажите порт ssh
- При 3 неуспешных авторизациях адрес атакующего попадает в бан
- Бан производится на 1минуту
10. Настройка резервного копирования директории сервера HQ-SRV:
- На HQ-SRV развернуть программное обеспечение для резервного копирования и восстановления данных с защитой от вирусов-шифровальщиков
- В качестве решения рекомендуется использовать программное обеспечение Кибер Бэкап версии 17.4 или аналог
- Настройте организацию irpo
- Настройте пользователя с правами администратора на сервере HQ-SRV, имя пользователя irpoadmin с паролем P@ssw0rd
- Установите на HQ-CLI агент с функциями узла хранилища и подключите его к серверу управления
- На узле хранилища HQ-CLI создайте директорию /backup и выберите её в качестве устройства хранения
- Создайте два плана резервного копирования для сервера HQ-SRV
- план для резервного копирования директории /etc и всех её поддиректорий
- план для резервного копирования базы данных webdb типа mysql
- Выполните резервное копирование директории /etc и всех её поддиректорий сервера HQ-SRV на узел хранения HQ-CLI
- Выполните резервное копирование базы данных webdb сервера HQ-SRV на узел хранения HQ-CLI