Cisco Packet Tracer Tipps & Tricks & Interessantes

Tippfaul?
1. Kommandos müssen nicht ausgeschrieben werden
Der Befehl "switchport port-security mac-address sticky" kann zu "sw po mac s" verkürzt werden, oder was sich besser merken lässt: "swi port mac sticky"... man muss nur wissen, ab welchem Buchstaben die Kommandos eindeutig werden.
Ebenfalls können Befehle mit der Tab-Taste automatisch vervollständigt werden

2. Man muss nicht "exit" tippen um in den privileged EXEC mode zurück zu kommen; es reicht die Tastenkombination Strg + c

3. Man muss gar nicht in den privileged EXEC mode wechseln um show-Kommandos absetzen zu können, denn es gibt den Befehl "do":
R1(config-if)#do show ip int br
oder auch andere Kommandos, die in diesem Modus nicht verfügbar sind wie ping:
 R1(config-if)#do ping 192.168.1.2

4. Wer es leid ist, ständig die Passwörter beim Konfigurieren eintippen zu müssen (oder sie vergessen hat...) kann einfach im Config-Tab des zu konfigurierenden Geräts zum Beispiel auf ein Interface klicken, wodurch die Passwortabfrage übersprungen wird um man direkt im If-Config-Modus ist:

Ping-Probleme?
1. Wenn man zu früh die Verbindungen (connectivity) testet, kommt man zu falschen Ergebnissen, weil das Netzwerk erst konvergieren muss. Dies geht schneller, wenn man ein paar Mal zwischen Realtime- und Simulationsmodus hin und her wechselt.

2. Wenn man die Funktion "Add Simple PDU" verwendet, kann es vorkommen, dass der erste Ping fehlschlägt (Anzeige: "failed"), deshalb einfach einen zweiten Ping absetzen, denn die ARP-Tabelle muss sich erst aufbauen.

 Interessant: Packet-Tracer kann Passwort-Recovery
Wenn der simulierte Router startet, kann mit der Untbr-Taste in den ROMmon-Modus gewechselt werden. Dort kann das Start-Register von 0x2102 auf 0x2142 umgestellt werden.

Self decompressing the image :
################################
monitor: command "boot" aborted due to user interrupt   rommon 1 > confreg 0x2142
rommon 2 > reset
System Bootstrap, Version 12.3(8r)T8, RELEASE SOFTWARE (fc1)
Cisco 1841 (revision 5.0) with 114688K/16384K bytes of memory.

Der Router startet neu und so lange das Register auf 0x2142 steht, werden alle Konfigurationen und Passwörter ignoriert, aber man kann sie sich in der Startup-config anzeigen lassen.

Cisco CCNA Security - Kapitel 9: Configure a Network for Secure Operation

Die letzte Packet Tracer-Aufgabe ist eine Komplex-Übung. Sagen wir's so: sie ist in endlicher Zeit machbar...
Tischplattenbeißpotential:



1. Passwörter und Passwort-Sicherheit konfigurieren
R1(config)#security passwords min-length 10
-> alle Passwörter müssen mindestens 10 Zeichen lang sein
R1(config)#enable secret ciscoenpa55
R1(config)#service password-encryption
-> Passwörter werden nicht im Klartext in der running-config angezeigt

2. Console-Zugang mit Passwort versehen und Inaktivitäts-Timeout setzen
R1(config)#line con 0
R1(config-line)#pass ciscoconpa55
R1(config-line)#login
R1(config-line)#exec-timeout 5
R1(config-line)#logging synchronous
-> verhindert, dass Meldungen beim Eintippen der Befehle stören

3. VTY-Zugang und Banner setzen
R1(config)#line vty 0 4
R1(config-line)#pass ciscovtypa55
R1(config-line)#login
R1(config-line)#exec-t 5
R1(config)#banner motd $No Unauthorized Access!$
-> wird beim Einloggen angezeigt

4. Local Authentication / AAA aktivieren
R1(config)#username Admin01 secret Admin01pa55
-> Nutzer in der lokalen Datenbank anlegen
R1(config)#aaa new-model
R3(config)#aaa authentication login default local none
-> Der Parameter "none" muss hier explizit geschrieben werden ("no backup method")

R1(config)#line vty 0 4
R1(config-line)#login authentication default
-> Die Authentifizierungsliste muss auch am vty-Zugang angebracht werden

5. NTP auf R1 konfigurieren mit Authentifizierung (NTP authentication)
-> das heißt, es wird ein Schlüssel konfiguriert um eine vertrauenswürdige zentrale Quelle für die Uhrzeit zu erhalten. Geräte, die ohne Schlüssel konfiguriert wurden, bekommen aber trotzdem die Zeit vom NTP-Server.
R1(config)#ntp authenticate
R1(config)#ntp server 192.168.1.5 key 1
-> die key-nummer nicht vergessen, denn voreingestellt steht sonst "0" in der running-config
R1(config)#ntp authentication-key 1 md5 ciscontppa55
-> dieser Schlüssel (ciscontppa55) muss im NTP-Server (PC-A) hinterlegt werden: Im Config-Tab NTP wählen, mit "on" aktivieren, mit "enable" Authentifizierung aktivieren, und die Key-Nummer (1) den Schlüssel (ciscontppa55) rechts daneben eingeben.
R1(config)#ntp trusted-key 1
R1(config)#ntp update-calendar
-> Hardware-Clock aktualisieren lassen

6. Syslog auf R1 konfigurieren und aktivieren
R1(config)#service timestamps log datetime msec
-> Zeitstempel für Log-Nachrichten aktivieren
R1(config)#logging 192.168.1.6
-> Syslog-Server
R1(config)#ip ips notify log
R1(config)#loggin on

7. SSH auf R3 konfigurieren
R3(config)#ip domain-name ccnasecurity.com
-> SSH braucht einen Domain-Namen
R3(config)#crypto key zeroize rsa
-> eventuell vorhandene Schlüssel werden gelöscht
R3(config)#crypto key generate rsa
-> ein neues RSA-Schlüsselpaar wird generiert
R3(config)#ip ssh authentication-retries 2
R3(config)#ip ssh time-out 90
R3(config)#ip ssh version 2

8. CBAC auf R1 konfigurieren
a) Eine IP ACL erstellen namens OUT-IN (to block all traffic originating from the outside network)
R1(config)#ip access-list extended OUT-IN
R1(config-ext-nacl)#deny ip any any
R1(config)#int s0/0/0
R1(config-if)#ip access-group OUT-IN in

b) Eine inspection rule erstellen (to inspect ICMP, Telnet and HTTP traffic)
R1(config)#ip inspect name IN-OUT-IN icmp alert on
R1(config)#ip inspect name IN-OUT-IN telnet alert on
R1(config)#ip inspect name IN-OUT-IN http alert on

c) Die IN-OUT-IN inspection rule ans Interface s0/0/0 outbound anbringen
R1(config)#int s0/0/0
R1(config-if)#ip inspect IN-OUT-IN out

9. Firewall (ZPF) auf R3 konfigurieren
a) Zonen erstellen
R3(config)#zone security IN-ZONE
R3(config-sec-zone)#exit
R3(config)#zone security OUT-ZONE

b) ACL 101 erstellen; erlaubt alle IP-Protokolle von 192.168.3.0/24 an jedes Ziel
R3(config)#acc 101 permit ip 192.168.3.0 0.0.0.255 any

c) Class map erstellen, die sich auf ACL 101 bezieht
R3(config)#class-map type inspect IN-NET-CLASS-MAP
R3(config-cmap)#match access-group 101

d) Policy map namens IN-2-OUT-PMAP erstellen und der class map IN-NET-CLASS-MAP zuordnen. Action: inspect
R3(config)#policy-map type inspect IN-2-OUT-PMAP
R3(config-pmap)#class type inspect IN-NET-CLASS-MAP
R3(config-pmap-c)#inspect

e) Zonenpaar namens IN-2-OUT-ZPAIR erstellen und Datenflussrichtung zuweisen
R3(config)#zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZON

f) Policy map und action "inspect" zuweisen
R3(config-sec-zone-pair)#service-policy type inspect IN-2-OUT-PMAP

g) Die Interfaces den Sicherheitszonen zuweisen
R3(config)#int fa0/1
R3(config-if)#zone-member security IN-ZONE
R3(config)#int s0/0/1
R3(config-if)#zone-member security OUT-ZONE

10. Die Switches (S1+S2+S3) absichern
a) Passwörter und Zugänge absichern
S1(config)#enable secret ciscoenpa55
S1(config)#service password-encryption
S1(config)#line con 0
S1(config-line)#password ciscoconpa55
S1(config-line)#login
-> Set the basic login parameter
S1(config-line)#exec-timeout 5
S1(config-line)#logging synchronous
S1(config)#line vty 0 4
S1(config-line)#pass ciscovtypa55
S1(config-line)#login
S1(config-line)#exec-t 5

b) Die Trunk-Ports auf S1 und S2 absichern, Storm Control aktivieren
S1(config)#int fa0/1
S1(config-if)#swi mode trunk
-> Der Modus "trunk" sollte immer nur zwischen zwei Switches aktiviert sein
S1#sh int trunk
-> Einstellungen verifizieren
S1(config-if)#swi native vlan 99
-> ungenutztes VLAN 99 verwenden um Angreifer zu ärgern
S1(config-if)#swi nonegotiate
S1(config-if)#storm-control broadcast level 50

c) Die Access-Ports absichern (Portfast, BPDU Guard, Port-Security); hier für S1 und S3
S1(config)#int range fa0/5 - 6 // zum Router hin ist auch ein Access-Port
S1(config-if-range)#swi mode access
S1(config-if-range)#span portfast
S1(config-if-range)#spanning-tree bpduguard enable
S1(config-if-range)#switchport port-security
S1(config-if-range)#switchport port-security mac-address sticky
-> für S2 ist es fast das Gleiche, muss aber für den Port fa0/18 konfiguriert werden

d) alle Ports außer die konfigurierten deaktivieren; Achtung bei S2, dort sind es wieder andere Portnummern
S1(config)#int range fa0/2 - fa0/4
-> Interfaces am besten gleich im Bereich ansprechen
S1(config-if-range)#shutdown
S1(config)#int range fa0/7 - fa0/24
S1(config-if-range)#shu
S1(config)#int range g1/1 - 2
S1(config-if-range)#shu

Cisco CCNA Security - Kapitel 8: Configure and Verify a Site-to-Site IPsec VPN using CLI

Tischplattenbeißpotential:


1. ACL 110 auf R1 (und später auch R3) "interessanten" Traffic definieren vom LAN an R1 (192.168.1.0/24) zum LAN an R3 (192.168.3.0/24)
R1(config)#acc 110 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
-> hier ist kein explizites deny any any verlangt und wird sogar als falsch gewertet
-> Erinnerung: ACLs, die für VPNs genutzt werden, blockieren KEINEN Traffic, sondern geben an, welche Datenflüsse verschlüsselt werden sollen, und welche nicht. Das explizite Deny zeigt beim Verifizieren nur an, welche Daten unverschlüsselt übertragen wurden.

Und spiegelverkehrt (wichtig!) auf R3:
R3(config)#acc 110 permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255


2. Auf R1 die in der Aufgabenstellung definierten ISAKMP Phase 1-Eigenschaften konfigurieren
-> einige der Eigenschaften aus der Tabelle sind default-Werte und müssen deshalb nicht explizit konfiguriert werden
R1(config)#crypto isakmp policy 10
R1(config-isakmp)#encryption aes
-> default: des
R1(config-isakmp)#authentication pre-share
-> default: rsa
R1(config-isakmp)#group 2
-> default: 1

Öffentlichen Schlüssel definieren, weil bei "authentication" "pre-share" gewählt wurde
R1(config)#crypto isakmp key vpnpa55 address 10.2.2.2
-> Die IP-Adresse 10.2.2.2 gehört zu R3; auf diesem Router muss das gleiche definiert werden, aber die IP-Adresse ist in dem Fall 10.1.1.2

3. ISAKMP Phase 2-Eigenschaften (transform-set)
Name: VPN-SET, Methoden: esp-3des und esp-sha-hmac
R1(config)#crypto ipsec transform-set VPN-SET esp-3des esp-sha-hmac

Sequenznummer: 10, identifizieren als ipsec-isakmp map
R1(config)#crypto map VPN-MAP 10 ipsec-isakmp

Weitere Eigenschaften:
R1(config-crypto-map)#set peer 10.2.2.2
-> Tunnel wird zu R3 aufgebaut
R1(config-crypto-map)#set transform-set VPN-SET
R1(config-crypto-map)#match address 110
-> 110 ist unsere ACL

4. Die erstellte crypto map VPN-MAP an S0/0/0 anbringen
R1(config)#interface Serial0/0/0
R1(config-if)#crypto map VPN-MAP
-> die folgende Meldung erscheint:
*Jan  3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

5. Verifizieren:
a) Die running-config anschauen
R1# sh run
...
crypto map VPN-MAP 10 ipsec-isakmp
 ! Incomplete
...
-> wenn so etwas in der running-config steht, wurde bestimmt ein Parameter vergessen - oder die ACL,...

b) Spezielle Verifizierungstools nutzen:
-> bevor "interessanter" Traffic erzeugt wurde:
R3#sh cryp ipsec sa
No SAs found

R3#sh cryp isakmp sa
IPv4 Crypto ISAKMP SA
dst             src             state          conn-id slot status
IPv6 Crypto ISAKMP SA


-> nach dem erfolgreichen Ping:

R3#sh cryp isakmp sa
IPv4 Crypto ISAKMP SA
dst             src             state          conn-id slot status
10.1.1.2        10.2.2.2        QM_IDLE           1072    0 ACTIVE
IPv6 Crypto ISAKMP SA

R3#sh cryp ipsec sa
interface: Serial0/0/1
    Crypto map tag: VPN-MAP, local addr 10.2.2.2


   protected vrf: (none)
   local  ident (addr/mask/prot/port): (192.168.3.0/255.255.255.0/0/0)
   remote  ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0/0)
   current_peer 10.1.1.2 port 500
    PERMIT, flags={origin_is_acl,}
   #pkts encaps: 2, #pkts encrypt: 2, #pkts digest: 0
   #pkts decaps: 2, #pkts decrypt: 2, #pkts verify: 0
   #pkts compressed: 0, #pkts decompressed: 0
   #pkts not compressed: 0, #pkts compr. failed: 0
   #pkts not decompressed: 0, #pkts decompress failed: 0
   #send errors 1, #recv errors 0


     local crypto endpt.: 10.2.2.2, remote crypto endpt.:10.1.1.2
     path mtu 1500, ip mtu 1500, ip mtu idb Serial0/0/1
     current outbound spi: 0x31AE2FDD(833499101)


     inbound esp sas:
      spi: 0x206C66DF(543975135)
        transform: esp-3des esp-sha-hmac ,
        in use settings ={Tunnel, }
        conn id: 2001, flow_id: FPGA:1, crypto map: VPN-MAP
        sa timing: remaining key lifetime (k/sec): (4525504/86381)
        IV size: 16 bytes
        replay detection support: N
        Status: ACTIVE
     inbound ah sas:
     inbound pcp sas:


     outbound esp sas:
      spi: 0x31AE2FDD(833499101)
        transform: esp-3des esp-sha-hmac ,
        in use settings ={Tunnel, }
        conn id: 2002, flow_id: FPGA:1, crypto map: VPN-MAP
        sa timing: remaining key lifetime (k/sec): (4525504/86381)
        IV size: 16 bytes
        replay detection support: N
        Status: ACTIVE
     outbound ah sas:
     outbound pcp sas:

R3#sh acc 110
Extended IP access list 110
    permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255 (1 match(es))


R3#sh crypto map
Crypto Map VPN-MAP 10 ipsec-isakmp
        Peer = 10.1.1.2
        Extended IP access list 110
            access-list 110 permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
        Current peer: 10.1.1.2
        Security association lifetime: 4608000 kilobytes/86400 seconds
        PFS (Y/N): Y
        Transform sets={
                VPN-SET,
        }
        Interfaces using crypto map VPN-MAP:
                Serial0/0/1


R3#sh crypto isakmp policy
Global IKE policy
Protection suite of priority 10
        encryption algorithm:   AES - Advanced Encryption Standard (128 bit keys).
        hash algorithm:         Secure Hash Standard
        authentication method:  Pre-Shared Key
        Diffie-Hellman group:   #2 (1024 bit)
        lifetime:               86400 seconds, no volume limit
Default protection suite
        encryption algorithm:   DES - Data Encryption Standard (56 bit keys).
        hash algorithm:         Secure Hash Standard
        authentication method:  Rivest-Shamir-Adleman Signature
        Diffie-Hellman group:   #1 (768 bit)
        lifetime:               86400 seconds, no volume limit

R3#sh crypto ipsec transform-set
Transform set VPN-SET: {    { esp-3des esp-sha-hmac  }
   will negotiate = { Tunnel,  },

Cisco CCNA Security - Kapitel 6-2: Layer 2 VLAN Security

Tischplattenbeißpotential: 0

1. Ein Kabel zwischen SW-1 und SW2 an den Fa0/23er Ports anbringen
-> braucht ein Crossover-Kabel, weil es zwei gleichartige Geräte sind.
-> wird nicht bewertet

2. Auf dem neuen Link "trunking" und alle Sicherheitsmechanismen aktivieren (den Port dem nativen VLAN 15 hinzufügen, auto-negotiation deaktivieren)
-> es sind damit nicht Root guard und Storm Control gemeint; die Arbeit kann man sich sparen.
SW-1(config)#int fa0/23
SW-1(config-if)#swi mode trunk
SW-1(config-if)#swi native vlan 15
SW-1(config-if)#swi nonegotiate
-> wen ein Port trunk ist, bleibt er so auch trunk bis ein Admin ihn umkonfiguriert, selbst wenn man ein Gerät im Access-Modus mit auto-negotiation anschließt
SW-1(config-if)#no shutdown

3. Ein gesondertes VLAN für Management erstellen (auf allen Switches - ginge effizienter über VTP, aber das ist hier nicht verlangt)
a) Nummer 20, Name VLAN0020:
SW-A(config)#vlan 20
SW-A(config-vlan)#name VLAN0020

b) Irgendeine IP-Adresse im Bereich 192.168.20.0/24 vergeben um eine IP-Adresse zu haben, mit der man den Switch von anderen Geräten aus erreichen und konfigurieren kann:
SW-A(config)#int vlan 20
SW-A(config-if)#ip add 192.168.20.1 255.255.255.0
-> jedem Switch natürlich eine andere Adresse geben
SW-A(config-if)#no shu

4. Den PC-C1 mit eine IP-Adresse zuweisen und mit dem Switch SW-A auf Port Fa0/1 verbinden.
-> Straight-Through-Kabel
-> Adresse aus dem Bereich 192.168.20.0/24: Im Config-Tab des PCs "FastEthernet" wählen, Adresse kann zB. 192.168.20.6 sein

5. Den PC in das Vlan 20 einbinden um ihm Zugriff zu geben (nur SW-A!)
SW-A(config-if)#int fa0/1
SW-A(config-if)#swi mode acc
SW-A(config-if)#swi acc vlan 20
SW-A(config-if)#no shu

6. Den Zugriff des Management-PCs auf den Router konfigurieren
a) Subinterface
-> erstelle ein neues Subinterface (Fa0/0.3) und vergib eine IP im Bereich 192.168.20.0/24
-> Subinterface heißt, dass es nur ein physikalisches Interface gibt, aber mehrere logische - entsprechend der existierenden VLANs auf den Switches
R1(config)#int fa0/0.3
R1(config-subif)#encapsulation dot1Q 20
-> erst die Encapsulation festlegen, vorher lässt sich keine IP-Adresse zuweisen
-> dot1q-Encapsulation mit dem Parameter 20, der IEEE 802.1Q VLAN ID
R1(config-subif)#ip add 192.168.20.20 255.255.255.0

b) PC konfigurieren
-> Die eben konfigurierte IP-Adresse muss noch als default gateway im PC eingestellt werden (Config-Tab -> Settings -> Gateway)

7. Verifizieren: Durch anpingen der Switches und des Routers von PC-C1 aus
Hinweis: Der erste Ping wird immer fehlschlagen, weil die ARP-Tabelle erst aufgebaut werden muss, also nicht wundern, wenn man "Add Simple PDU" verwendet und es fehlschlägt.

8. Eine ACL hinzufügen, die Zugriffe von anderen Netzwerken auf unser Management-Netzwerk 192.168.20.0/24 unterbindet, aber alle anderen Netzwerke einander den Zugriff erlaubt
-> wird nicht mehr bewertet, aber ich denke, dass meine Lösung richtig ist:

R1(config)#int fa0/0.3
R1(config-subif)#ip acc 1 in   
-> am Sub-Interface angebracht = nah am Ziel = standard ACL

R1(config)#acc 1 permit 192.168.20.0 0.0.0.255
R1(config)#acc 1 deny 192.168.10.0 0.0.0.255
R1(config)#acc 1 deny 192.168.5.0 0.0.0.255
R1(config)#acc 1 deny any

-> Verifizieren:
R1(config)#sh ip acc 1
Standard IP access list 1
    permit 192.168.20.0 0.0.0.255 (4 match(es))
    deny 192.168.10.0 0.0.0.255 (1 match(es))
    deny 192.168.5.0 0.0.0.255
    deny any
-> der Router kann anpingt werden, aber nicht die Switches, das darf nur der Wartungs-PC im 20er-VLAN
Und: die PCs können sich gegenseitig noch anpingen

Cisco CCNA Security - Kapitel 6-1: Layer 2 Security

Tischplattenbeißpotential: 0

1. Herausfinden, welcher Switch Root-Bridge ist:
Central#sh span
-> Die Ausgabe ist (gekürzt):
VLAN0001
  Spanning tree enabled protocol ieee
  Root ID    Priority    32769
             Address     0009.7C61.9058
             Cost        4
             Port        25(GigabitEthernet0/1)                   
-> die letzte Zeile bedeutet, dass die Root-Brigde mit Port G0/1 verbunden ist
-> schaut man nach, welcher Switch am anderen Ende des Kabels hängt, findet man SW-1:

SW-1#sh span
VLAN0001
  Spanning tree enabled protocol ieee
  Root ID    Priority    32769
             Address     0009.7C61.9058
             This bridge is the root                   
-> hier sagt es uns der Switch SW-1 schon selbst, dass er die Root-Bridge ist

2. Switch "Central" zur "primary root bridge" machen, SW-1 zur "secondary root bridge"
Central(config)#spanning-tree vlan 1 root primary
SW-1(config)#spanning-tree vlan 1 root secondary

3. PortFast und BPDU guard an allen Access-Ports aktivieren (SW-A und SW-B, nicht etwa die Switches, auf denen wir gerade gearbeitet haben)
-> Access-Ports sind Ports, die nicht mit anderen Switches verbunden sind
SW-B(config)#int range fa0/1 - 22
-> mit dem Interface-Range-Befehl kann man mehrere Interfaces auf einmal konfigurieren
-> man kann Bereiche und Aufzählungen verwenden, zum Beispiel: int range fa0/1, fa0/3 - 6

SW-B(config-if-range)#switchport mode access
-> zur Sicherheit explizit die Ports in den Access-Modus schalten; wird hier aber nicht bewertet

SW-B(config-if-range)#spanning-tree portfast
-> Folgende Ausgabe ist in Ordnung:
%Warning: portfast should only be enabled on ports connected to a single
 host. Connecting hubs, concentrators, switches, bridges, etc... to this
 interface  when portfast is enabled, can cause temporary bridging loops.
 Use with CAUTION
%Portfast will be configured in 22 interfaces due to the range command
 but will only have effect when the interfaces are in a non-trunking mode.

SW-B(config-if-range)#spanning-tree bpduguard enable
-> ebenfalls in diesem Interface-Bereich an allen 22 Interfaces gleichzeitig

4. Root guard und Storm Control an allen Trunk-Ports aktivieren (diesmal an SW-1 und SW-2)
SW-1(config)#int range fa0/23-24
SW-1(config-if-range)#spanning-tree guard root
SW-1(config-if-range)#storm-control broadcast level 50
-> 50 ist die rising threshold; mehr geht hier auch nicht im Moment

-> und auch nicht diese Ports für Storm Control vergessen:
SW-1(config)#int range fa0/1, gi1/1
SW-1(config-if-range)#storm-control broadcast level 50


5. Port-Security aktivieren und ungenutzte Ports deaktivieren (SW-A und SW-B)
a) Port-Security: 2 MAC-Adressen sollen dynamisch gelernt werden (=sticky), bei Verletzung der Regeln soll der Port heruntergefahren werden (ist eigentlich default)
SW-A(config-if-range)#int r fa0/1-4
SW-A(config-if-range)#swi port max 2
SW-A(config-if-range)#swi port violation shutdown
SW-A(config-if-range)#swi port mac sticky
-> bei so etwas werde ich immer etwas schreibfaul, aber das macht nichts, denn diese Abkürzungen werden vom Cisco-IOS genau so wie die ausgeschriebenen Befehle interpretiert

b) ungenutze Ports deaktivieren:
SW-A(config)#int r fa0/5-22
SW-A(config-if-range)#shutdown

Cisco CCNA Security - Kapitel 5: Configure IOS Intrusion Prevention System (IPS) using CLI

Tischplattenbeißpotential: 0

1. Erstelle ein IPS-Konfigurationsverzeichnis
R1#mkdir flash:ipsdir
-> im privileged EXEC mode; mit Enter noch mal bestätigen

2. Konfiguriere dieses Verzeichnis als IPS signature storage location
R1(config)#ip ips config location ipsdir
oder auch:
R1(config)#ip ips config location flash:ipsdir
-> wird aber nicht bewertet

3. IPS aktivieren / einen Namen für eine Regel vergeben
R1(config)#ip ips name iosips
-> ohne eine ACL anzugeben

4. Logging
R1(config)#logging host 192.168.1.50
-> Syslog-Server
R1(config)#ip ips notify log
-> logging event notification

-> in der Zwischenaufgabe muss nur ein zusätzlicher Befehl abgesetzt werden:
R1(config)#service timestamps log datetime msec
-> logging on und clock set... werden nicht bewertet

5. Signaturen
a) Signaturen der ALL-Kategorie deaktivieren (retire)
R1(config)#ip ips signature-category
R1(config-ips-category)#category all
R1(config-ips-category-action)#retire true
-> dann zwei mal exit verwenden und mit Enter die Änderungen bestätigen

b) Signaturen der "IOS_IPS Basic"-Kategorie aktivieren (un-retire)
R1(config)#ip ips signature-category
R1(config-ips-category)#category ios_ips basic
R1(config-ips-category-action)#retired false

6. An Fa0/0 outbound anbringen
R1(config-if)#ip ips iosips out
-> iosips ist der am Anfang vergebene Name der IPS-Regel
-> Log-Messages folgen:
*Mrz 21, 12:24:23.2424:  %IPS-6-ENGINE_BUILDS_STARTED:  12:24:23 UTC Mrz 21 2011
*Mrz 21, 12:24:23.2424:  %IPS-6-ENGINE_BUILDING: atomic-ip - 3 signatures - 1 of 13 engines
*Mrz 21, 12:24:23.2424:  %IPS-6-ENGINE_READY: atomic-ip - build time 8 ms - packets for this engine will be scanned
*Mrz 21, 12:24:23.2424:  %IPS-6-ALL_ENGINE_BUILDS_COMPLETE: elapsed time 8 ms

7. Eine Signatur verändern
a) Signatur 2004, subsig ID 0 soll aktiviert (un-retire) und freigegeben (enable) werden
R1(config)#ip ips signature-definition
-> statt einer Kategorie wird eine einzelne Signatur bearbeitet
R1(config-sigdef)#signature 2004 0
-> 0 ist die Subsignatur-ID

R1(config-sigdef-sig)#status
R1(config-sigdef-sig-status)#retired false
R1(config-sigdef-sig-status)#enabled true
-> es müssen beide Kommandos genutzt werden

b) Die Aktionen alert und drop sollen aktiviert werden
R1(config-sigdef-sig)#engine
R1(config-sigdef-sig-engine)#event-action produce-alert
-> alert
R1(config-sigdef-sig-engine)#event-action deny-packet-inline
-> drop
(mehr als diese beiden Optionen ist im Moment auch nicht verfügbar)

Cisco CCNA Security - Kapitel 4-3: Configuring a Zone-Based Policy Firewall (ZPF)

Firewalls sind zwar nicht das leichteste Thema, aber diese PT-Aufgabenstellung ist ordentlich erstellt worden.
Tischplattenbeißpotential: 0

1. Zwei Sicherheitszonen erstellen:
R3(config)#zone security IN-ZONE
R3(config)#zone security OUT-ZONE

2. ACL 101 erstellen, die internen Traffic definiert:
R3(config)#access-list 101 permit ip 192.168.3.0 0.0.0.255 any
-> wir gehen von R3 aus, also ist das interne Netzwerk das 192.168.3.0er Netzwerk

3. Eine dazugehörige class map (Name: IN-NET-CLASS-MAP) erstellen und ACL 101 zuweisen:
R3(config)#class-map type inspect IN-NET-CLASS-MAP
-> Typ "inspect"
R3(config-cmap)#match access-group 101

4. Eine dazugehörige policy map (Name: IN-2-OUT-PMAP) erstellen um zu bestimmen, was mit dem oben beschriebenen Traffic passiert:
R3(config)#policy-map type inspect IN-2-OUT-PMAP

R3(config-pmap)#class type inspect IN-NET-CLASS-MAP
-> class map zuweisen
R3(config-pmap-c)#inspect
-> action "inspect" zuweisen
-> es kommt die folgende Ausgabe:
%No specific protocol configured in class IN-NET-CLASS-MAP for inspection. All protocols will be inspected

5. Apply Firewall Policies - Zonenpaar
a) Create a pair of zones (in to out) / Zonenpaar erstellen:
R3(config)#zone-pair security IN-2-OUT-ZPAIR source IN-ZONE destination OUT-ZONE
-> Weist die Flussrichtung des inspizierten Traffics zu (von IN-ZONE zu OUT-ZONE)
b) Policy map zuweisen
R3(config-sec-zone-pair)#service-policy type inspect IN-2-OUT-PMAP

6. Den Interfaces Sicherheitszonen zuweisen
a) Fa0/1 zur IN-ZONE
R3(config)#int fa0/1
R3(config-if)#zone-member security IN-ZONE
b) S0/0/1 zur OUT-ZONE:
R3(config)#int s0/0/1
R3(config-if)#zone-member security OUT-ZONE

7. Verifizieren
a) From internal PC-C, Telnet to the router R2 S0/0/1 interface.
R3#
%SYS-5-CONFIG_I: Configured from console by console
 show policy-map type inspect zone-pair sessions
 Zone-pair: IN-ZONE-OUT-ZONE

  Service-policy inspect : IN-2-OUT-PMAP

    Class-map: IN-NET-CLASS-MAP (match-all)
      Match: access-group 101
      Inspect
        Established Sessions
         Session 176848496 (192.168.3.3:1026)=>(10.2.2.2:23) :tcp SIS_OPEN
          Created 00:00:32, Last heard  00:00:11
          Bytes sent (initiator:responder) [0:0]
    Class-map: class-default (match-any)
      Match: any
      Drop (default action)
        0 packets, 0 bytes


b) HTTP session:
R3# show policy-map type inspect zone-pair sessions
 Zone-pair: IN-ZONE-OUT-ZONE

  Service-policy inspect : IN-2-OUT-PMAP

    Class-map: IN-NET-CLASS-MAP (match-all)
      Match: access-group 101
      Inspect
        Established Sessions
         Session 109032888 (192.168.3.3:1027)=>(192.168.1.3:80) :tcp SIS_OPEN
          Created 00:00:01, Last heard  00:00:00
          Bytes sent (initiator:responder) [0:0]
    Class-map: class-default (match-any)
      Match: any
      Drop (default action)
        0 packets, 0 bytes

Cisco CCNA Security - Kapitel 4-2: Configuring Context-Based Access Control (CBAC)

Das einzige, was einen an dieser Aufgabe wahnsinnig machen kann, ist, dass nirgendwo angegeben ist, wie die Listen benannt werden sollen, deswegen schreibe ich es gleich am Anfang: Die erwarteten Namen sind "OUT-IN" für die Access-Liste und "IN-OUT-IN" für die CBAC-Liste (das kann man sehen, wenn man auf "check results" klickt ^_^)
Tischplattenbeißpotential:


1. Eine "named IP ACL" auf R3 soll allen Datenfluss (Traffic) von außen blocken:
R3(config)#ip access-list extended OUT-IN
-> wie oben schon erwähnt, ist der Name nicht beliebig
R3(config-ext-nacl)#deny ip any any

-> als "außen" wird das Netzwerk an der seriellen Schnittstelle gewertet:
R3(config)#int s0/0/1
R3(config-if)#ip acc OUT-IN in

2. Eine "CBAC Inspection Rule" soll ICMP, Telnet und HTTP inspizieren:
R3(config)#ip inspect name IN-OUT-IN icmp alert on
R3(config)#ip inspect name IN-OUT-IN telnet alert on
R3(config)#ip inspect name IN-OUT-IN http alert on

3. Time-stamped logging und CBAC audit trail messages sollen aktiviert werden
R3(config)#service timestamps log datetime msec
R3(config)#service timestamps debug datetime msec
-> In dieser Aufgabe müssen auch Zeitstempel für "debug" aktiviert werden

R3(config)#ip inspect audit-trail
R3(config)#logging host 192.168.1.3
-> Auf Server PC-A läuft der Syslog-Dienst. Nach diesem Befehl kommt folgende Meldung:
%SYS-6-LOGGINGHOST_STARTSTOP: Logging to host 192.168.1.3 port 514 started - CLI initiated
R3(config)#logging on

4. Die bei 2. definierte CBAC-Regel soll für "egress traffic" an Interface S0/0/1 angebracht werden
-> egress ist das Gegenteil von ingress, und ingress bedeutet (wie man schon raten kann) "inbound", also ist egress "outbound"
R3(config)#int s0/0/1
R3(config-if)#ip inspect IN-OUT-IN out

5. Verifizieren
-> das wird zwar nicht gewertet, aber bei solchen fortgeschrittenen Konfigurationen ist es durchaus mal interessant, sich die Infos darüber anzeigen zu lassen - und Pakete zu generieren:

R3#sh ip inspect all
Session audit trail is enabled
Session alert is enabled
one-minute (sampling period) thresholds are [unlimited : unlimited] connections
max-incomplete sessions thresholds are [unlimited : unlimited]
max-incomplete tcp connections per host is unlimited. Block-time 0 minute.
tcp synwait-time is 30 sec -- tcp finwait-time is 5 sec
tcp idle-time is 3600 sec -- udp idle-time is 30 sec
tcp reassembly queue length 16; timeout 5 sec; memory-limit 1024 kilo bytes
dns-timeout is 5 sec
Inspection Rule Configuration
 Inspection name FWRULE
    icmp alert is on audit-trail is on timeout 10
    telnet alert is on audit-trail is on timeout 3600
 Inspection name IN-OUT-IN
    icmp alert is on audit-trail is on timeout 10
    telnet alert is on audit-trail is on timeout 3600
    http alert is on audit-trail is on timeout 3600

Interface Configuration
 Interface Serial0/0/1
  Inbound inspection rule is not set
  Outgoing inspection rule is IN-OUT-IN
    icmp alert is on audit-trail is on timeout 10
    telnet alert is on audit-trail is on timeout 3600
    http alert is on audit-trail is on timeout 3600
  Inbound access list is OUT-IN
  Outgoing access list is not set

R3# sh ip inspect sessions
*Mrz 01, 00:05:40.055:  %FW-6-SESS_AUDIT_TRAIL_START: Start telnet session: initiator (192.168.3.3:1025) -- responder (10.2.2.2:23)
*Mrz 01, 00:05:42.055:  %FW-6-SESS_AUDIT_TRAIL_STOP: Stop telnet session: initiator (192.168.3.3:1025) -- responder (10.2.2.2:23)
*Mrz 01, 00:05:50.055:  %FW-6-SESS_AUDIT_TRAIL_START: Start telnet session: initiator (192.168.3.3:1026) -- responder (192.168.1.3:23)
*Mrz 01, 00:05:55.055:  %FW-6-SESS_AUDIT_TRAIL_STOP: Stop telnet session: initiator (192.168.3.3:1026) -- responder (192.168.1.3:23)
*Mrz 01, 00:06:06.066:  %FW-6-SESS_AUDIT_TRAIL_START: Start http session: initiator (192.168.3.3:1027) -- responder (192.168.1.3:80)
*Mrz 01, 00:06:11.066:  %FW-6-SESS_AUDIT_TRAIL_STOP: Stop http session: initiator (192.168.3.3:1027) -- responder (192.168.1.3:80)

R3#sh ip inspect statistics
Packet inspection statistics [process switch:fast switch]
  tcp packets: [0:4]
Interfaces configured for inspection 1
Session creations since subsystem startup or last reset 4
Current session counts (estab/half-open/terminating) [0:0:0]
Maxever session counts (estab/half-open/terminating) [1:0:0]
Last session created 00:06:24
Last statistic reset never
Last session creation rate 0
Maxever session creation rate 1
Last half-open session total 0
TCP reassembly statistics
  received 0 packets out-of-order; dropped 0
  peak memory usage 0 KB; current usage: 0 KB
  peak queue length 0

Cisco CCNA Security - Kapitel 4-1: Configure IP ACLs to Mitigate Attacks

Tischplattenbeißpotential:


1. ACL 10 auf allen Routern soll nur PC3 den Konfigurierungs-Zugang (remote access) erlauben
-> bei ACLs gibt es immer mehrere Varianten; folgende sind hier richtig:
R1(config)#acc 10 permit 192.168.3.3 0.0.0.0
R1(config)#acc 10 permit host 192.168.3.3
2. Die ACL an den VTY-Zugang legen für hineingehende Anfragen (ingress traffic)
R1(config)#line vty 0 4
-> Man hat im Cisco-Lehrgang mal so festgelegt, dass man nur die Zugänge 0 bis 4 konfiguriert
R1(config-line)#access-class 10 in

2. ACL 100 auf R3 soll Traffic von folgenden Quell-Adressen sperren: 127.0.0.0/8, any RFC 1918 private addresses, and any IP multicast address

a) 127.0.0.0er Bereich:
R3(config)#acc 100 deny ip 127.0.0.0 0.255.255.255 any
-> 127.0.0.0/8; /8 bedeutet eine Subnetzmaske von 255.0.0.0, woraus die Wildcardmaske 0.255.255.255 resultiert

b) RFC 1918 private Adressen:
Class A: 10.0.0.0 - 10.255.255.255
Class B: 172.16.0.0 - 172.31.255.255
Class C: 192.168.0.0 - 192.168.255.255
R3(config)#acc 100 deny ip 10.0.0.0 0.255.255.255 any
R3(config)#acc 100 deny ip 172.16.0.0 0.15.255.255 any
R3(config)#acc 100 deny ip 192.168.0.0 0.0.255.255 any

c) Multicast-Adressbereich 224.0.0.0/4
R3(config)#acc 100 deny ip 224.0.0.0 15.255.255.255 any
-> Die Wildcard-Maske setzt sich so zusammen: /4 bedeutet eine Subnetzmaske von 240.0.0.0, daraus folgt die wildcardmaske 15.255.255.255 (weil 255 minus 240 15 ist)

d) Jeder andere Traffic wird zugelassen, sonst greift die implizite Sperrung (implicit deny) von allem, was in der ACL nicht beschrieben wurde
R3(config)#acc 100 permit ip any any

Aber: Es reicht in dieser Aufgabe nicht, alle Adressbereiche korrekt zu definieren, auch die Reihenfolge muss genau mit der vordefinierten Reihenfolge überein stimmen - wobei es NICHT die Reihenfolge ist, die in der Aufgabenstellung angegeben wurde. Eine typische Tischbeiß-Aufgabe eben. Die als richtig gewertete Reihenfolge ist: Erst die 1918er-Adressen, dann der 127er Bereich, dann der Multicast-Bereich.

Der Einfachheit halber zum Reinkopieren für euch:
access-list 100 deny ip 10.0.0.0 0.255.255.255 any
access-list 100 deny ip 172.16.0.0 0.15.255.255 any
access-list 100 deny ip 192.168.0.0 0.0.255.255 any
access-list 100 deny ip 127.0.0.0 0.255.255.255 any
access-list 100 deny ip 224.0.0.0 15.255.255.255 any
access-list 100 permit ip any any


e) Angebracht wird die Liste an Serial 0/0/1, incoming traffic
R3(config)#int s0/0/1
R3(config-if)#ip access-group 100 in


3. ACL 110 auf R3 soll nur Traffic des internen Netzwerks zulassen; angebracht an fa0/1 inbound
R3(config)#acc 110 permit ip 192.168.3.0 0.0.0.255 any
R3(config)#int fa0/1
R3(config-if)#ip access-group 110 in

4. ACL 120 auf R1 soll DNS, SMTP und FTP von außen auf Server "PC-A" zulassen, aber nicht auf HTTPS; außerdem darf PC-C mit SSH auf R1 zugreifen.
a) DNS, SMTP und FTP zulassen
-> Man könnte Portnummern verwenden, aber meistens wird der Dienstname als richtig gewertet, und die Dienstnamen-Variante ist sogar einfacher, weil FTP zwei Ports verwendet.
R1(config)#acc 120 permit udp any host 192.168.1.3 eq domain
R1(config)#acc 120 permit tcp any host 192.168.1.3 eq smtp
R1(config)#acc 120 permit tcp any host 192.168.1.3 eq ftp

b) HTTP sperren (default port 443)
R1(config)#acc 120 deny tcp any host 192.168.1.3 eq 443

c) SSH von PC-C (192.168.3.3) auf Router (10.1.1.1, ist die Adresse des PC-C zugewandten Interfaces)
R1(config)#acc 120 permit tcp host 192.168.3.3 host 10.1.1.1 eq 22

d) ACL 120 so modifizieren, dass "ICMP echo replies" und "destination unreachable messages" erlaubt sind und alle anderen ICMP-Pakete geblockt werden:
R1(config)#acc 120 permit icmp any any echo-reply
R1(config)#acc 120 permit icmp any any unreachable
R1(config)#acc 120 deny icmp any any

e) Den restlichen Traffic erlauben
R1(config)#acc 120 permit ip any any
-> erst mit diesem Eintrag wird die ganze Liste 120 als richtig gewertet

f) Anbringen der ACL an S0/0/0 (incoming)
R1(config)#int s0/0/0
R1(config-if)#ip acc 120 in

Cisco CCNA Security - Kapitel 3: Configure AAA Authentication on Cisco Routers

 Tischplattenbeißpotential:



 1. Lokale Authentifizierung
a) Einen Nutzer in der lokalen Datenbank des Routers anlegen. Name "Admin1" und <<secret>> Passwort "admin1pa55"
Hier fangen die Merkwürdigkeiten schon an: als richtig gewertet wird nur:
R1(config)#user Admin1 secret 5 admin1pa55 - nicht etwa secret 0 admin1pa55 oder nur secret admin1pa55
Die Parameter bedeuten:
  0     Specifies an UNENCRYPTED secret will follow
  5     Specifies a HIDDEN secret will follow  
  LINE  The UNENCRYPTED (cleartext) user secret
Allerdings funktioniert das spätere Einloggen mit dem Passwort admin1pa55 - verschlüsselt als $1$mERr$yqLDyfDDWkZGJ9y568Vjq0 oder im Klartext - nicht mehr, wenn der Parameter 5 gewählt wurde (Packet Tracer 5.3.1.0044).
Ein Trick, wie man sich dennoch einloggen kann, ist:  Einfach im Config-Tab neben dem Kommandozeilen-Tab eine Konfigurationsoption wählen, zum Beispiel auf ein Interface klicken und dann wieder auf die Kommandozeile wechseln. Die Passwortabfrage wurde übersprungen und man ist im Konfigurationsmodus.

b) AAA aktivieren (default method list)
R1(config)#aaa new-model
R1(config)#aaa authentication login default local

c) Die Authentifizierungsmethode am Console-Zugang anbringen:
R1(config)#line con 0
R1(config-line)#login authentication default

d) Das gleiche für vty, aber hier wird die Liste TELNET-LOGIN genannt
R1(config)#aaa authentication login TELNET-LOGIN local
R1(config)#line vty 0 4
R1(config-line)#login authentication TELNET-LOGIN

2. Server-Based AAA Authentication Using TACACS+
a) Für den Fall, dass der TACACS+-Server nicht erreichbar ist, wird auch hier eine lokale Datenbank angelegt und später eine Backup-Methode konfiguriert.
R2(config)#user Admin secret 5 adminpa55

b) Den TACACS+-Server konfigurieren
R2(config)#tacacs-server host 192.168.2.2
R2(config)#tacacs-server key tacacspa55
-> Das Passwort stammt aus dem Config-Tab des TACACS+-Servers

c) AAA aktivieren
R2(config)#aaa new-model
R2(config)#aaa authentication login default group tacacs+ local
-> erste Authentifizierungsmethode ist über tacacs+, die zweite (backup) Methode ist die lokale Datenbank
R2(config)#line con 0
R2(config-line)#login authentication default
-> auch hier muss die Liste angebracht werden um dem Router zu sagen, wo die Authentifizierungsregeln definiert sind


3. Serverseitige Authentifizierung mit RADIUS
-> funktioniert praktisch genau so wie mit TACACS+, aber das Kommando für Radius ist
R3(config)#radius-server ...

Cisco CCNA Security - Kapitel 2: Securing Network Devices

Aufgabe: Configure Cisco Routers for Syslog, NTP, and SSH Operations
Tischplattenbeißpotential: 

1. NTP (Network Time Protocol) konfigurieren
-> Warum ist NTP wichtig? Um bei einem Angriff genaue Zeitstempel zu haben
-> Bei manuellen Einstellungen der Uhrzeit kommt es oft zu Abweichungen
(Anmerkung: wie kann man die Zeit eigentlich manuell einstellen?
So: Router# clock set 10:28:00 APR 04 2011)

a) Einen Router als NTP-Client konfigurieren
-> dafür einfach die NTP-Server-Adresse angeben
R1(config)# ntp server 192.168.1.5
-> in dieser Übung ist kein key verlangt

b) Configure routers to update hardware clock / die Hardware-Uhr aktualisieren
-> das stand nirgendwo explizit im Kursmaterial, aber die Cisco-Kommando-Referenz enthüllt folgendes:
R1(config)# ntp update-calendar

c) Zeitstempel (timestamp) verwenden für Log-Benachrichtigungen
R1(config)# service timestamps log datetime msec
-> es gibt auch die Option für Debug Messages (Parameter debug statt log), aber das wird hier nicht verlangt

2. Syslog konfigurieren
-> Ein Syslog-Server ist ein Computer, der die Syslog-Nachrichten von Syslog-Clients empfängt
-> Hier konfigurieren wir einen Router als Syslog-Client, indem wir ihm die IP-Adresse des Syslog-Servers mitteilen (mehr ist hier nicht verlangt):
R1(config)#logging host 192.168.1.6

3. SSH konfigurieren
a) SSH braucht einen Domain-Namen; vorgegeben ist: ccnasecurity.com
R3(config)#ip domain-name ccnasecurity.com

b) SSH braucht einen Benutzer mit Passwort und zugeteilten Rechten. Vorgegeben ist: SSHadmin, >>secret<< Passwort ciscosshpa55, höchstmögliches Privilege Level
R3(config)#username SSHadmin privilege 15 secret ciscosshpa55

c) Nur SSH soll an den VTY-Zugängen akzeptiert werden (also kein Telnet):
R3(config)#line vty 0 4
R3(config-line)#login local
-> login local gibt an, dass die lokale Datenbank genutzt werden soll, also dass wir uns mit dem Benutzer einloggen können, den wir gerade angelegt haben
R3(config-line)#transport input ssh

d) RSA-Schlüsselpaar generieren, eventuell vorhandenen Schlüssel löschen:
R3(config)#crypto key zeroize rsa
-> diese Meldung ist erwartet: % No Signature RSA Keys found in configuration.
R3(config)#crypto key generate rsa
-> anders als im Lehrmaterial kann man hier nicht "general-keys modulus 1024" eingeben
-> wenn man auf Enter drückt, kann man anschließend die Schlüssellänge eingeben

e) SSH timeouts and authentication parameters
-> Der Befehl zur SSH-Konifguration ist nicht "ssh...", sondern "ip ssh..."
-> Einstellungsoptionen anzeigen lassen:
R3(config)#ip ssh ?
(Und den Rest könnt ihr selbst ;))

Für wen ist dieser Blog?

Dieser Blog ist primär für Studenten gedacht, die beim Lösen der Packet-Tracer-Aufgaben den Drang verspüren in die Tischplatte zu beißen, weil die kleine Prozent-Anzeige rechts unten einfach nicht auf 100% springen will - obwohl doch eigentlich alles richtig ist. Aber Cisco Packet Tracer lässt nur eine Lösung gelten. Das ist besonders bei Access Lists eine haarige Angelegenheit, aber auch bei anderen Konfigurationsaufgaben kommt es oft auf den letzten kleinen Parameter an.

Ich habe fast alle Aufgaben ausgetüftelt und möchte nun meine Erkenntnisse mit euch teilen um dem einen oder anderen stundenlangen Frust zu ersparen.

Um bildlich darzustellen, wie kniffelig die jeweiligen Aufgaben sind, habe ich ein Icon erstellt, das einen Tisch darstellt, in den man nicht beißen und stattdessen meine Hinweise lesen soll. 0 bedeutet "keine Schwierigkeiten", 3 - maximale Frustration.