Bài 62b: Lab Troubleshooting Phần 3 — Xử lý 5 sự cố định tuyến, HSRP và ACL theo ticket

hostname R1
no ip domain-lookup
interface gigabitEthernet 0/0
 ip address 192.168.10.2 255.255.255.0
 standby 1 ip 192.168.10.1
 standby 1 priority 90
 no shutdown
interface gigabitEthernet 0/1
 ip address 10.0.13.1 255.255.255.252
 no shutdown
router ospf 1
 router-id 1.1.1.1
 network 192.168.10.0 0.0.0.255 area 0
 network 10.0.13.0 0.0.0.3 area 0
 passive-interface gigabitEthernet 0/0
end

hostname R2
no ip domain-lookup
interface gigabitEthernet 0/0
 ip address 192.168.10.3 255.255.255.0
 standby 1 ip 192.168.10.1
 standby 1 preempt
 no shutdown
interface gigabitEthernet 0/1
 ip address 10.0.23.1 255.255.255.252
 no shutdown
router ospf 1
 router-id 2.2.2.2
 network 192.168.10.0 0.0.0.255 area 0
 network 10.0.23.0 0.0.0.0 area 0
 passive-interface gigabitEthernet 0/0
end

hostname R3
no ip domain-lookup
enable secret class
interface gigabitEthernet 0/0
 ip address 10.0.13.2 255.255.255.252
 no shutdown
interface gigabitEthernet 0/1
 ip address 10.0.23.2 255.255.255.252
 no shutdown
interface gigabitEthernet 0/2
 ip address 192.168.100.1 255.255.255.0
 no shutdown
router ospf 1
 router-id 3.3.3.3
 network 10.0.13.0 0.0.0.3 area 0
 network 10.0.23.0 0.0.0.3 area 0
 network 192.168.100.0 0.0.0.255 area 0
 passive-interface gigabitEthernet 0/2
ip access-list extended TO-SERVERS
 10 permit icmp 192.168.10.0 0.0.0.255 host 192.168.100.10
 20 deny tcp any host 192.168.100.10 eq 80
 30 permit tcp 192.168.10.0 0.0.0.255 host 192.168.100.10 eq 80
interface gigabitEthernet 0/2
 ip access-group TO-SERVERS out
access-list 99 permit host 192.168.10.100
line vty 0 4
 password cisco
 login
 access-class 99 in
end

PC1: 192.168.10.10/24, gateway 192.168.10.1 · PC2: 192.168.10.11/24, gateway 192.168.10.1 · PC3: 192.168.10.12/24, gateway 192.168.10.2

Chạy tracert 192.168.100.10 từ PC2: chặng đầu là router nào? Router đó có route tới 192.168.100.0/24 không, có neighbor OSPF nào không?

So sánh cột Pri và P trong show standby brief của R1 và R2.

Ping qua được mà web không qua — chắc chắn có bộ lọc. Mở web một lần nữa rồi xem dòng nào trong show access-lists trên R3 vừa tăng bộ đếm.

Mật khẩu đúng mà vẫn bị từ chối ngay khi kết nối — R3 có đang giới hạn ai được vào line VTY không? ACL đó cho phép địa chỉ nào?

Chỉ một máy bị, các máy cùng phòng thì không — vấn đề nằm ở chính máy đó. Xem ipconfig trên PC3.

Bằng chứng: tracert từ PC2 cho chặng đầu 192.168.10.3 — R2 đang là gateway (xem #302). Trên R2, show ip ospf neighbor trống, show ip route không có 192.168.100.0/24. show ip protocols cho thấy dòng 10.0.23.0 0.0.0.0 area 0: wildcard 0.0.0.0 chỉ khớp đúng địa chỉ 10.0.23.0, không khớp IP 10.0.23.1 của G0/1 — nên G0/1 không có trong show ip ospf interface brief.

R2(config)# router ospf 1
R2(config-router)# no network 10.0.23.0 0.0.0.0 area 0
R2(config-router)# network 10.0.23.0 0.0.0.3 area 0

Kiểm tra: R2 thấy neighbor 3.3.3.3 FULL, có route O 192.168.100.0/24; PC2 ping 192.168.100.10 thành công.

Bằng chứng: show standby brief trên R1: Pri 90, cột P trống, trạng thái Standby. Trên R2: Pri 100, có P, Active. R1 có priority thấp hơn nên không thể làm Active.

R1(config)# interface gigabitEthernet 0/0
R1(config-if)# standby 1 priority 110
R1(config-if)# standby 1 preempt

Kiểm tra: R1 chuyển sang Active; tracert từ PC có chặng đầu 192.168.10.2.

📎 Lỗi #301 chỉ gây sự cố vì R2 đang làm Active. Nếu chỉ sửa #302 trước, mạng chạy được nhờ R1 — nhưng R2 vẫn "hỏng ngầm" và cả phòng sẽ mất mạng vào đúng lúc R1 bảo trì. Đây là lý do phải thử chuyển đổi dự phòng sau khi sửa.

Bằng chứng: mở web từ PC3 rồi chạy show access-lists trên R3: dòng 20 deny tcp any host 192.168.100.10 eq www tăng bộ đếm; dòng 30 (permit) không bao giờ tăng. ACL dừng ở dòng khớp đầu tiên, nên dòng 30 vô dụng.

R3(config)# ip access-list extended TO-SERVERS
R3(config-ext-nacl)# no 20

Kiểm tra: PC3 mở được web; dòng 30 bắt đầu tăng bộ đếm. Các truy cập khác vào mạng máy chủ vẫn bị dòng deny ẩn ở cuối chặn — đúng chính sách.

Bằng chứng: show running-config | section line vty có access-class 99 in; show access-lists 99 chỉ có permit 192.168.10.100 — không phải 192.168.10.10 của PC1. Mọi địa chỉ khác bị dòng deny ẩn chặn nên kết nối bị từ chối trước cả bước hỏi mật khẩu.

R3(config)# access-list 99 permit host 192.168.10.10

Kiểm tra: PC1 telnet 10.0.13.2 vào được (mật khẩu cisco); PC2 vẫn bị từ chối. Có thể xoá dòng thừa .100 sau khi đã kiểm tra.

Bằng chứng: ipconfig trên PC3 cho Default Gateway 192.168.10.2 — IP thật của R1, không phải IP ảo 192.168.10.1. Khi R1 tắt G0/0, địa chỉ 192.168.10.2 biến mất; HSRP chỉ chuyển IP ảo sang R2.

Sửa: đổi gateway của PC3 thành 192.168.10.1.

Kiểm tra: tắt lại R1 G0/0 — cả ba PC vẫn tới được SRV1 (sau vài giây R2 lên Active). Bật lại R1 G0/0, R1 giành lại vai trò nhờ preempt.

Thử thách 1: Ping từ R1 dùng địa chỉ nguồn 10.0.13.1 (cổng ra của R1), không thuộc 192.168.10.0/24, nên bị dòng deny ẩn của TO-SERVERS chặn khi đi ra G0/2 của R3 — đúng chính sách. Thử lại với ping 192.168.100.10 source 192.168.10.2 sẽ thành công.

! Thử thách 2 — dòng số 5 nằm trên cùng
R3(config)# ip access-list extended TO-SERVERS
R3(config-ext-nacl)# 5 permit ip host 192.168.10.10 host 192.168.100.10