Catatan Access-list

Kegunaan access-list
1. menginspeksi paket-paket jaringan berdasarkan kriteria.
Contoh: source address, destination address, protokol-protokol, dan nomor port
2. mengklasifikasikan paket untuk memungkinkan prioritas.

ACL dikonfigurasi baik diaplikasikan ke trafik inbound (trafik yang masuk ke router) atau diaplikasikan ke trafik outbound (trafik yang keluar dari ruter).

Inbound dan outbound access-list

Untuk inbound ACL, paket masuk diproses sebelum mereka di rutekan ke interface outbound
Untuk outbound ACL, paket masuk diproses setelah mereka dirutekan ke sebuah interface.

Standard dan Extended

Standard ACL
1. Dapat menyaring trafik berdasarkan alamat IP sumber
2. Menggunakan angka 1 - 99
3. Menggunakan angka 1300 - 1999
4. Bisa menggunakan nama selain angka

Extended ACL
1. Dapat menyaring trafik berdasarkan alamat IP sumber
2. Dapat menyaring trafik berdasarkan alamat IP tujuan
3. Dapat menyaring trafik berdasarkan tipe protokol
4. Menggunakan nomor 100-199
5. Bisa menggunakan nama selain angka

Peletakkan Access list
1. Letakkan extended ACL sedekat mungkin ke sumber trafik/host yang akan di deny.
2. Letakkan standard ACL sedekat mungkin ke tujuan. Karena standard ACL tidak menjelaskan tujuan dari trafik.

Bagaimana access-list dibaca oleh router?
Ketika sebuah paket diterima oleh ruter, paket itu dibandingkan dengan statement - statement ACL berdasarkan urutan entri access-list itu disusun. Ruter meneruskan untuk memproses pernyataan - pernyataan ACL hingga ruter menemukan kecocokan.

Jika tidak ada yang cocok ketika sebuah ruter mencapai akhir dari list, trafik itu di deny karena ada deny yang tersirat (implied) bagi trafik.

The full syntax
Standard access-list
Router(config)#access-list access-list-numberdenypermit remarksource [source-wildcard] [log]

Extended access-list
access-list access-list number {deny | permit | remark} protocol source [source-wildcard] [operator operand] [port port-number or name] destination [destination-wildcard] [operator operand] [port port-number or name] [established]

'Selalu source duluan

contoh extended access-list:
access-list 103 permit tcp 192.168.10.0 0.0.0.255 any eq 80
baca: access-list 103 permit tcp dari source 192.168.10.0 255.255.255.0 ke kemana saja dengan port tujuan 80 (port http)

access-list 103 permit tcp 192.168.10.0 0.0.0.255 any eq 443
baca: access-list 103 permit tcp dari source 192.168.10.0 255.255.255.0 ke kemana saja dengan port 443 (port https)



Contoh-contoh access-list

Soal-soal subnetting

Karya Aaron Balchunas (http://www.routeralley.com/ra/labs/subnetting_exercises.pdf)

Range dari alamat IPv4 terlindungi

Tipe-tipe alamat IPv4:
1. Alamat Host
Kegunaan: dipakai untuk alamat-alamat host IPv4
Range: 0.0.0.0 sampai 223.255.255.255

2. Alamat Multicast
Kegunaan: dipakai untuk alamat grup-grup multicast pada sebuah network lokal
Range: 224.0.0.0 sampai 239.255.255.255

3. Alamat Experimental
Kegunaan:
- Dipakai untuk research dan experimental
- Tidak bisa saat ini digunakan untuk host-host pada jaringan IPv4
Range: 240.0.0.0 sampai 255.255.255.254

Broadcast

Transmisi broadcast digunakan sebagai mode pengiriman paket kesemua host di network.

Ketika sebuah host menrima sebuah paket dengan alamat broadcast sebagai alamat tujuannya, host itu akan memproses paket itu seperti laiknya sebuah paket ke alamat unicast host itu.

Transmisi broadcast digunakan ketika:
- Alamat IP host penyedia layanan tidak diketahui.
Contoh:
Alamat IP host DHCP server tidak diketahui sementara host/PC dikonfigurasi untuk menggunakan alamat IP dinamis atau alamat IP nya tidak dikonfigurasi oleh administrator.

- Sebuah host butuh memberikan informasi ke semua host di jaringan

- Mempertukarkan informasi ruting oleh ruting protokol misal RIP

Ketika suatu host butuh informasi, host mengirimkan permintaan/pertanyaan, yang disebut query, ke alamat broadcast. Semua host di jaringan menerima dan memproses query ini. Satu atau lebih host yang memiliki informasi yang dibutuhkan oleh host penanya akan merespon, biasanya menggunakan unicast.

Broadcast paket biasanya dibatasi ke lokal saja, tidak seperti paket unicast, bisa di rutekan.

Pembatasan ini tergantung dari konfigurasi ruter yang membatasi network dan tipe dari broadcast itu sendiri (directed broadcast/limited broadcast)

directed broadcast / non-limited broadcast
contoh:
Misal host di network 172.16.5.0 ingin mengirimkan paket broadcast ke network 172.16.4.0, host 172.16.5.1 itu akan mengirimkan paket broadcast ke alamat tujuan 172.16.4.255

limited broadcast

Paket-paket limited broadcast menggunakan alamat IP tujuan: 255.255.255.255

Ruter tidak akan meneruskan paket ini.

Switch layer 2 contoh: catalyst 2960, meneruskan paket ini.

Paket-paket yang dialamatkan ke alamat limited broadcast hanya akan "muncul" pada network lokal. Oleh karena alasan ini, sebuah jaringan IPv4 disebut juga sebagai suatu broadcast domain. Ruter-ruter yang menjadi pembatas dari sebuah broadcast domain.

Jadi, kita butuh ruter untuk membatasi broadcast trafik yang tergolong berlebihan (excessive) yang sering terjadi pada jaringan switch (switched network) atau dengan kata lain jaringan yang hanya menggunakan switch-switch sebagai penghubung; tanpa ruter (karena hanya ruter yang memblok paket ini) dan biasanya jaringan seperti ini hanya menggunakan 1 alamat network (network address) IPv4 saja.

Loopback address

On OSPF
Loopback interface have a specific uses

On other then OSPF routing protocol
-to simulate a network

EIGRP

Jika kamu mengubah bobot metric EIGRP, kamu mengubah nilai metric suatu rute didalam routing table. Artinya kamu mengubah penilain EIGRP suatu ruter terhadap suatu link.


R1
Network Metric
192.168.1.0 29090
192.168.1.0 2020202

Jenis-jenis address IP

Host address

Subnets 
Subnets adalah hasil sumerisasi alamat-alamat host

Contoh-contoh subnet address:
192.168.1.128 /25
192.168.1.0 /25
192.168.1.0 /26
192.168.1.64/26

Major net
Majornet adalah hasil sumerisasi alamat-alamat subnets
Contoh-contoh major address:
192.168.1.0/24
192.168.2.0/24

172.16.0.0 /16
172.17.0.0 /16
172.18.0.0 /16
172.19.0.0 /16


10.0.0.0 /8

Supernet
Aggregasi beberapa major network.
 

Tips membaca IP address

 1. Alamat IP network/subnetwork selalu genap
Nilai pada interesting octet selalu genap / habis dibagi 2
Contoh benar:
192.168.1.2 /

Step analisa:
Interesting octetnya? Oktet ke empat.
Genap? (Ya/Tidak) = Ya
Alamat IP benar

2.. Alamat IP host(PC windows, interface router, interface vlan switch, dll.)

RIP V.2

RIP v2 is classless routing protocol.
RIP v2 provide subnet mask information in routing updates.
RIP will allow VLSM subnet information to be propagated throughout the network.

show ip protocols
untuk melihat interface mana yang ikut dalam proses pengiriman update
untuk melihat network / subnetwork apa saja yang dikirimkan sebagai route update

debug ip rip
what this router receive, what this router sent
who is sent what
untuk melihat apa yang dikirim dan terima suatu ruter
untuk melihat proses sumerisasi route updates

Automatic summerization
RIPv2 by default still automatically do summerization.

The routers will summarize routes at major network boundaries

Subnetting

Subnetting adalah proses matematis menghasilkan subnet
Subnet adalah suatu benda.

Basic routing conf

1. Basic RIP configuration



Task 5: Verifying RIP routing
step 1: show ip route
untuk melihat apakah network lain / network bukan directly connected terhadap suatu router sudah terinjeksi kedalam routing table.

step 2: show ip protocols

step 3: debug ip rip
"who send and what he send"



step 4: undebug all
non aktifkan debug ip rip (kata-kata yang menyedihkan)

Router ping output

"U" = Destination Unreachable
"." = The Network server/service timed out while waiting for a reply
"H" = Host unreachable
"P" = Protocol "
"N" = Network "
"!" = Receipt of a reply
"Q" = Source quench
"M" = Could not fragment
"?" = Unknown packet type

CCNA Exploration 1-4: LAB/Activity List

Activity 1.1.1: Using Google Earth™ to View the World
Activity 1.4.5: Identifying Top Security Vulnerabilities
Lab 1.6.1: Using Collaboration Tools— IRC and IM
Lab 1.6.2: Using Collaboration Tools—Wikis and Web Logs
Activity 2.2.5: Using NeoTrace™ to View Internetworks
Lab 2.6.1: Topology Orientation and Building a Small Network
Lab 2.6.2: Using Wireshark™ to View Protocol Data Units
Activity 3.4.1: Data Stream Capture
Lab 3.4.2: Managing a Web Server
Lab 3.4.3: E-mail Services and Protocols
Lab 4.5.1: Observing TCP and UDP using Netstat
Lab 4.5.3: Application and Transport Layer Protocols Examination
Lab 5.5.1: Examining a Device’s Gateway
Lab 5.5.2: Examining a Route
Lab 6.7.1: Ping and Traceroute
Lab 6.7.2: Examining ICMP Packets
Activity 6.7.3: IPv4 Address Subnetting Part 1
Activity 6.7.4: IPv4 Address Subnetting Part 2
Lab 6.7.5: Subnet and Router Configuration
Lab 7.5.2: Frame Examination
Lab 8.4.1: Media Connectors Lab Activity
Lab 9.8.1: Address Resolution Protocol (ARP)
Lab 9.8.2: Cisco Switch MAC Table Examination
Lab 9.8.3: Intermediary Device as an End Device
Lab 10.3.2: How Many Networks?
Lab 10.6.1: Creating a Small Lab Topology
Lab 10.6.2: Establishing a Console Session with HyperTerminal
Lab 10.6.3: Establishing a Console Session with Minicom
Lab 11.4.3.3: Network Latency Documentation with Ping
Lab 11.5.1: Basic Cisco Device Configuration
Lab 11.5.2: Managing Device Configuration Lab 11.5.3: Configure Host Computers for IP Networking
Lab 11.5.4: Network Testing 
Lab 11.5.5: Network Documentation with Utility Commands
Lab 11.5.6: Final Case Study - Datagram Analysis with Wireshark

========================================================================

Lab 1.5.1: Cabling a Network and Basic Router Configuration
Lab 1.5.2: Basic Router Configuration
Lab 1.5.3: Challenge Router Configuration
Lab 2.8.1: Basic Static Route Configuration
Lab 2.8.3: Troubleshooting Static Routes
Activity 3.5.2: Subnetting Scenario 1
Activity 3.5.3: Subnetting Scenario 2
Activity 3.5.4: Subnetting Scenario 3
Lab 4.6.1: Routing Table Interpretation Lab
Lab 5.6.1: Basic RIP Configuration
Lab 5.6.2: Challenge RIP Configuration 
Activity 6.4.1: Basic VLSM Calculation and Addressing Design
Activity 6.4.3: Troubleshooting a VLSM Addressing Design
Activity 6.4.2: Challenge VLSM Calculation and Addressing Design
Activity 6.4.3: Troubleshooting a VLSM Addressing Design
Activity 6.4.4: Basic Route Summarization
Activity 6.4.5: Challenge Route Summarization
Activity 6.4.6: Troubleshooting Route Summarization
Lab 7.5.1: RIPv2 Basic Configuration Lab
Lab 7.5.2: RIPv2 Challenge Configuration Lab 
Lab 7.5.3: RIPv2 Troubleshooting Lab
Lab 8.4.1: Investigating the Routing Table Lookup Process
Lab 8.4.2: Show IP Route Challenge Lab
Lab 9.6.1: Basic EIGRP Configuration Lab
Lab 9.6.2: Challenge EIGRP Configuration Lab
Lab 9.6.3: EIGRP Troubleshooting Lab
Lab 11.6.1: Basic OSPF Configuration Lab 
Lab 11.6.2: Challenge OSPF Configuration Lab
Lab 11.6.3: OSPF Troubleshooting Lab

==========================================================================
Lab 1.3.1: Review of Concepts from Exploration 1
Lab 1.3.2: Review of Concepts from Exploration 1 - Challenge
Lab 1.3.3: Troubleshooting a Small Network
Lab 2.5.1: Basic Switch Configuration
Lab 2.5.2: Managing Switch Operating System and Configuration Files
Lab 2.5.3: Managing Switch Operating System and Configuration Files – Challenge
Lab 3.5.1: Basic VLAN Configuration
Lab 3.5.2: Challenge VLAN Configuration
Lab 3.5.3: Troubleshooting VLAN Configurations
Lab 4.4.1: Basic VTP Configuration
Lab 4.4.2: VTP Configuration Challenge
Lab 4.4.3 Troubleshooting VTP Configuration
Lab 5.5.1: Basic Spanning Tree Protocol
Lab 5.5.2: Challenge Spanning Tree Protocol
Lab 5.5.3: Troubleshooting Spanning Tree Protocol
Lab 6.4.1: Basic Inter-VLAN Routing
Lab 7.5.1: Configuring Wireless LAN Access
Lab 7.5.2: Challenge Wireless Configuration 
Lab 7.5.3: Troubleshooting the Wireless WRT300N

==========================================================================
Lab 1.4.1: Challenge Review Lab
Lab 2.5.1: Basic PPP Configuration Lab
Lab 2.5.2: Challenge PPP Configuration
Lab 2.5.3: Troubleshooting PPP Configuration
Lab 3.5.1: Basic Frame Relay
Lab 3.5.2: Challenge Frame Relay Configuration
Lab 3.5.3: Troubleshooting Frame Relay
Lab 4.6.1: Basic Security Configuration
Lab 4.6.2: Challenge Security Configuration
Lab 4.6.3: Troubleshooting Security Configuration
Lab 5.5.1: Basic Access Control Lists
Lab 5.5.2: Access Control Lists Challeng
Lab 5.5.3: Troubleshooting Access Control Lists
Lab 7.4.1: Basic DHCP and NAT Configuration
Lab 7.4.2: Challenge DHCPand NAT Configuration
Lab 7.4.3: Troubleshooting DHCP and NAT
Activity 8.3.7: Troubleshooting Role Play
Lab 8.5.1: Troubleshooting Enterprise Networks 1
Lab 8.5.2: Troubleshooting Enterprise Networks 2
Lab 8.5.3: Troubleshooting Enterprise Networks 3

Cisco Packet Tracer 6.1 components

 Cisco Router:

1. Cisco 1841
2. Cisco 1941
3. Cisco 2620XM
4. Cisco 2621XM
5. Cisco 2811
6. Cisco 2901
7. Cisco 2911

Cisco Switch:

1. Cisco 2950-24
2. Cisco 2950T
3. Cisco 2960
4. Cisco 3560 24 PS

Server:

1. HTTP Server
2. DHCP server
3. TFTP server
4. DNS server
5. SYSLOG server
6. AAA server
7. NTP server
8. EMAIL server
9. FTP server
10. FIREWALL server
11. IPv6 FIREWALL

Router modules:

1. NM-1E
2. NM-1E2W
3. NM-1FE-FX
4. NM-1FE-TX
5. NM-1FE2W
6. NM-2E2W
7. NM-2FE2W
8. NM-2W
9. NM-4A/S
10. NM-4E
11. NM-8A/S
12. NM-8AM
13. NM-Cover
14. NM-ESW-161
15. HWIC-2T
16. HWIC-4ESW
17. HWIC-8A
18. HWIC-AP-AG-B
19. WIC-1AM
20. WIC-ENET
21. WIC-1T
22. WIC-2AM
23. WIC-2T
24. WIC-Cover

Kenapa tidak bisa ping? (Nyoba analisa kode-kode ICMP)

Hari ini gw iseng2 ngelakuin troubleshooting kenapa tidak bisa ping  di GNS3.

Topologi yang gw pakai:


Gw coba ping salah satu interface R1 di network 1.1.1.0/24 dari R3 dan mendapatkan Request Timed Out(RTO). Alasan gagal dasar dan yang paling utama adalah masalah ruting:
1. R2 tidak memiliki informasi route ke 1.1.1.0 (network tujuan ping request), dan
2. R1 tidak mempunyai informasi rute ke 192.168.2.0/24 (network tujuan ping reply). Karena network 192.168.2.0/24 ini tidak terhubung langsung dengan R1 dan juga tidak memiliki ruting statik ataupun ruting dinamik,
3. Gw tambahin access-list OUT standard yang memblok semua trafik (deny any any) yang keluar dari interface 192.168.1.1 Router1 (R1).

Bagi gw ini cukup memusingkan. Gw gak tahu apa yang salah, dimana dan mengapa ping gw gagal ke host itu.

Dan, hari ini berhasil deteksi 3 alasan diatas dengan hanya menggunakan 2 comand seperti yang diajarkan cisco di halaman: Smart enough and easy. So from that reading we need:
1. perintah debug ip packet detail dengan menggunakan filtering dari fitur access-list.
2. perintah ping embedded from the ruter

Kenapa pakai filter? Karena output perintah debug ip packet ini bisa seabrek-abrek. Seluruh paket IP yang masuk ke R2 pada saat debugging akan diproses. Tunggu, semuanya?? Ruter bisa keok dongg?? Jika semua karyawan sedang menggunakan router R2 sebagai gateway mereka? pekerjaan CPU ruter bisa meningkat.


Jadi, langkah kakinya seperti ini:
1. Buat 1 buah access-list extended:
(config)# access-list 100 permit icmp any host 192.168.2.2
2. Nyalakan debug ip packet di R2 dan rujuk debug ip packet ini ke access-list 100 yang baru dibuat
R2# debug ip packet 100 detail
3. Ping alamat IP tujuan
4. Kemudian reka alasan gagal ping berdasarkan ICMP type dan Code balasan yang akan dimunculkan oleh debug ip packet. Remember, output debug ip packet, jika kamu lihat lebih dekat, akan memberitahumu siapa dan mengapa. Who will tell you why

Contoh:
R2# ping 1.1.1.1
R2# will receive icmp type = 3 code 1 artinya no route in the routing table routing table
tambahkan ip route 1.1.1.1 255.255.255.255 192.168.1.2

R2# ping 1.1.1.1
Remember, output debug ip packet detail ini akan memberitahumu siapa dan mengapa. Who will tell you why.
Contohnya: jika dari hasil debug ip packet


R2# will receive icmp type = 3 code 13 it means there is a ACL
tambahkan permit any
dan tambahkan ip route 0.0.0.0 0.0.0.0 192.168.1.1

Sekian tipsnya semoga bermanfaat