ko0ler/homelabGNS3 home lab che documenta una rete segmentata con firewall Cisco ASAv, core L3, DMZ e un dominio Active Directory per esercitarsi in networking, sysadmin e sicurezza offensiva.
HomeLab è un laboratorio GNS3 costruito su un singolo laptop (OMEN 16, i7-14650HX, 32 GB RAM, RTX 4060 8 GB) per esercitarsi in networking, amministrazione di sistemi e sicurezza offensiva in un unico ambiente. Modella un perimetro con una DMZ (Cisco ASAv), un core routed (SW-L3 + due switch di accesso) e un dominio Active Directory kooler.local in esecuzione su Windows Server 2025. Le piattaforme di attacco (Kali, ParrotOS/Exegol) si trovano sul segmento esterno non attendibile insieme a un gateway NAT verso Internet.
Catena: Kali/Exegol + NAT (Switch-X) → Router → ASAv Firewall (con gamba DMZ) → SW-L3 → L2-SW-1 / L2-SW-2 (VLAN).
| Segmento | Sottorete | Note |
|---|---|---|
| Esterno / non attendibile | 192.168.160.0/24 | Switch-X: Kali/Exegol, cloud NAT; Router su .100 |
| Router ↔ FW esterno | 10.10.3.0/29 | Router .1, ASA outside .2 |
| FW ↔ DMZ | 10.10.2.0/30 | ASA dmz .2, Ubuntu .1 |
| FW ↔ SW-L3 (interno) | 10.10.1.0/30 | ASA inside .2, SW-L3 .1 |
| VLAN 30 | 192.168.30.0/24 | PC-C, PC-D |
| VLAN 40 | 192.168.40.0/24 | dietro L2-SW-2 — Windows 10, PC-B |
| VLAN 50 | 192.168.50.0/24 | dietro L2-SW-1 — Windows Server 2025 (DC01), PC-A |
| VLAN 100 | 192.168.100.0/24 | SVI presente su SW-L3; in trunk, non ancora nel gruppo oggetti ASA |
I link trunk SW-L3 ↔ L2-SW-1/L2-SW-2 trasportano le VLAN 30, 40, 50, 100 (VLAN nativa 999, dot1q).
| Dispositivo | Ruolo | Piattaforma | Interfacce principali |
|---|---|---|---|
| Router | Router di bordo, gateway lato NAT | Cisco IOSv 15.9 | Gi0/0 10.10.3.1/29 (verso FW); Gi0/1 192.168.160.100/24 (verso Switch-X) |
| FW | Firewall perimetrale, DMZ | Cisco ASAv 9.22(1)1 | outside 10.10.3.2/29; dmz 10.10.2.2/30; inside 10.10.1.2/30 |
| SW-L3 | Switch core L3, routing inter-VLAN | Cisco IOSv L2 15.2 | Gi0/0 10.10.1.1/30 (verso FW); Gi0/1-0/2 trunk verso L2-SW-1/2; SVI per VLAN 30/40/50/100 |
| L2-SW-1 | Switch di accesso | Cisco IOSv L2 15.2 | Porte di accesso VLAN 50 (WinServer2025, PC-A) |
| L2-SW-2 | Switch di accesso | Cisco IOSv L2 15.2 | Porte di accesso VLAN 40 (Windows 10, PC-B); VLAN 30 (PC-D) |
ASAv è licenziato con Smart Licensing Using Policy, in esecuzione in Evaluation Mode con feature tier standard e throughput level 1G dichiarati localmente (nessuna registrazione CSSM).
| Host | OS / Build | Hostname | IP / VLAN | Servizi |
|---|---|---|---|---|
| Kali | Kali Linux 2026.2 (VMware amd64) | Kali | 192.168.160.130 (segmento esterno) | Piattaforma di attacco |
| ParrotOS/Exegol | ParrotOS + Exegol | — | segmento esterno (Switch-X) | Piattaforma di attacco |
| Ubuntu | Ubuntu Desktop 26.04 | ko0ler-VMware-Virtual-Platform | 10.10.2.1 (DMZ) | DVWA, bWAPP, httpbin, FTP, Samba, MySQL |
| WindowsServer 2025 | Windows Server 2025 | DC01 | 192.168.50.10 (VLAN 50) | ADCS, ADDS, DHCP, DNS, MSSQL — domain controller per kooler.local |
| Windows 10 | Windows 10 | PC1 | DHCP (VLAN 40) | Workstation joinata al dominio |
| PC-A | VPCS | — | VLAN 50 (.15) | — |
| PC-B | VPCS | — | VLAN 40 (.15) | — |
| PC-C | VPCS | — | VLAN 30 (.1) | — |
| PC-D | VPCS | — | VLAN 30 (.2) | — |
Domain controller: DC01 (Windows Server 2025, 192.168.50.10), con ADCS, ADDS, DHCP, DNS e MSSQL in esecuzione contemporaneamente — un DC volutamente sovradimensionato per esercitarsi sulla superficie di attacco (esposizione di service account, misconfigurazione di template ADCS, SQL su un DC, ecc.).
| Account | Ambito | Note |
|---|---|---|
| Administrator | Locale (DC01) | Admin locale integrato |
| Ko0ler | Utente di dominio | — |
| user1 | Utente di dominio | — |
Windows 10 (PC1) è joinato a kooler.local; il login locale ko0ler esiste anche su quella macchina, separatamente dall'account di dominio.
| Coppia di zone | Direzione | Consentito |
|---|---|---|
| outside → DMZ | inbound | HTTP(80), HTTPS(443), 8080, 8070, 8060 verso Ubuntu (10.10.2.1); ICMP |
| DMZ → outside | outbound | HTTP, HTTPS, DNS(53) |
| DMZ → inside | — | negato |
| inside → DMZ | outbound | IP completo verso Ubuntu |
| inside → outside | outbound | IP completo, PAT tramite interfaccia outside dell'ASA |
NAT: PAT per le sottoreti inside (192.168.30/40/50.0/24, dinamico, tramite ASA outside) e NAT statico per l'host DMZ (10.10.2.1 → 10.10.3.3, DMZ_MAPPED). Nota: il traffico inter-VLAN tra le VLAN 30/40/50 non attraversa mai l'ASA — SW-L3 lo instrada localmente, quindi il firewall vede solo traffico north-south (DMZ/esterno).
Tracciati in CHANGELOG.md.
Le credenziali del laboratorio non vengono intenzionalmente inserite in questo repository.
| Ambito | Account | Host |
|---|---|---|
| Locale | kali | Kali |
| Locale | ko0ler | Ubuntu |
| Locale | ko0ler | Windows 10 (PC1) |
| Locale | Administrator | DC01 |
| Dominio (kooler.local) | Ko0ler | — |
| Dominio (kooler.local) | user1 | — |
