ko0ler/homelabLaboratório caseiro GNS3 documentando uma rede segmentada com firewall Cisco ASAv, núcleo L3, DMZ e um domínio Active Directory para praticar redes, administração de sistemas e segurança ofensiva.
HomeLab é um laboratório GNS3 construído em um único laptop (OMEN 16, i7-14650HX, 32 GB de RAM, RTX 4060 8 GB) para praticar redes, administração de sistemas e segurança ofensiva em um único ambiente. Ele modela um perímetro com uma DMZ (Cisco ASAv), um núcleo roteado (SW-L3 + dois switches de acesso) e um domínio Active Directory kooler.local rodando no Windows Server 2025. Plataformas de ataque (Kali, ParrotOS/Exegol) ficam no segmento externo não confiável, ao lado de um gateway NAT para a internet.
Cadeia: Kali/Exegol + NAT (Switch-X) → Router → ASAv Firewall (com perna DMZ) → SW-L3 → L2-SW-1 / L2-SW-2 (VLANs).
| Segmento | Sub-rede | Observações |
|---|---|---|
| Externo / não confiável | 192.168.160.0/24 | Switch-X: Kali/Exegol, nuvem NAT; Router em .100 |
| Router ↔ FW externo | 10.10.3.0/29 | Router .1, ASA outside .2 |
| FW ↔ DMZ | 10.10.2.0/30 | ASA dmz .2, Ubuntu .1 |
| FW ↔ SW-L3 (interno) | 10.10.1.0/30 | ASA inside .2, SW-L3 .1 |
| VLAN 30 | 192.168.30.0/24 | PC-C, PC-D |
| VLAN 40 | 192.168.40.0/24 | atrás do L2-SW-2 — Windows 10, PC-B |
| VLAN 50 | 192.168.50.0/24 | atrás do L2-SW-1 — Windows Server 2025 (DC01), PC-A |
| VLAN 100 | 192.168.100.0/24 | SVI presente no SW-L3; trunked, ainda não está no object group da ASA |
Os links trunk SW-L3 ↔ L2-SW-1/L2-SW-2 carregam as VLANs 30, 40, 50, 100 (VLAN nativa 999, dot1q).
| Dispositivo | Função | Plataforma | Interfaces principais |
|---|---|---|---|
| Router | Roteador de borda, gateway do lado NAT | Cisco IOSv 15.9 | Gi0/0 10.10.3.1/29 (para FW); Gi0/1 192.168.160.100/24 (para Switch-X) |
| FW | Firewall de perímetro, DMZ | Cisco ASAv 9.22(1)1 | outside 10.10.3.2/29; dmz 10.10.2.2/30; inside 10.10.1.2/30 |
| SW-L3 | Switch L3 de núcleo, roteamento inter-VLAN | Cisco IOSv L2 15.2 | Gi0/0 10.10.1.1/30 (para FW); Gi0/1-0/2 trunks para L2-SW-1/2; SVIs para VLAN 30/40/50/100 |
| L2-SW-1 | Switch de acesso | Cisco IOSv L2 15.2 | Portas de acesso VLAN 50 (WinServer2025, PC-A) |
| L2-SW-2 | Switch de acesso | Cisco IOSv L2 15.2 | Portas de acesso VLAN 40 (Windows 10, PC-B); VLAN 30 (PC-D) |
O ASAv está licenciado sob Smart Licensing Using Policy, rodando em Evaluation Mode com feature tier standard e throughput level 1G declarados localmente (sem registro no CSSM).
| Host | SO / Build | Hostname | IP / VLAN | Serviços |
|---|---|---|---|---|
| Kali | Kali Linux 2026.2 (VMware amd64) | Kali | 192.168.160.130 (segmento externo) | Plataforma de ataque |
| ParrotOS/Exegol | ParrotOS + Exegol | — | segmento externo (Switch-X) | Plataforma de ataque |
| Ubuntu | Ubuntu Desktop 26.04 | ko0ler-VMware-Virtual-Platform | 10.10.2.1 (DMZ) | DVWA, bWAPP, httpbin, FTP, Samba, MySQL |
| WindowsServer 2025 | Windows Server 2025 | DC01 | 192.168.50.10 (VLAN 50) | ADCS, ADDS, DHCP, DNS, MSSQL — controlador de domínio para kooler.local |
| Windows 10 | Windows 10 | PC1 | DHCP (VLAN 40) | Estação de trabalho ingressada no domínio |
| PC-A | VPCS | — | VLAN 50 (.15) | — |
| PC-B | VPCS | — | VLAN 40 (.15) | — |
| PC-C | VPCS | — | VLAN 30 (.1) | — |
| PC-D | VPCS | — | VLAN 30 (.2) | — |
Controlador de domínio: DC01 (Windows Server 2025, 192.168.50.10), rodando ADCS, ADDS, DHCP, DNS e MSSQL lado a lado — um DC deliberadamente superprovisionado para prática de superfície de ataque (exposição de contas de serviço, má configuração de templates do ADCS, SQL em um DC, etc.).
| Conta | Escopo | Observações |
|---|---|---|
| Administrator | Local (DC01) | Administrador local integrado |
| Ko0ler | Usuário de domínio | — |
| user1 | Usuário de domínio | — |
O Windows 10 (PC1) está ingressado em kooler.local; o login local ko0ler também existe nessa máquina, separado da conta de domínio.
| Par de zonas | Direção | Permitido |
|---|---|---|
| outside → DMZ | entrada | HTTP(80), HTTPS(443), 8080, 8070, 8060 para o Ubuntu (10.10.2.1); ICMP |
| DMZ → outside | saída | HTTP, HTTPS, DNS(53) |
| DMZ → inside | — | negado |
| inside → DMZ | saída | IP completo para o Ubuntu |
| inside → outside | saída | IP completo, PAT via interface outside da ASA |
NAT: PAT para as sub-redes internas (192.168.30/40/50.0/24, dinâmico, via outside da ASA) e NAT estático para o host da DMZ (10.10.2.1 → 10.10.3.3, DMZ_MAPPED). Observação: o tráfego inter-VLAN entre as VLANs 30/40/50 nunca atravessa a ASA — o SW-L3 o roteia localmente, então o firewall só vê tráfego norte-sul (DMZ/externo).
Rastreado em CHANGELOG.md.
As credenciais do laboratório intencionalmente não são commitadas neste repositório.
| Escopo | Conta | Host |
|---|---|---|
| Local | kali | Kali |
| Local | ko0ler | Ubuntu |
| Local | ko0ler | Windows 10 (PC1) |
| Local | Administrator | DC01 |
| Domínio (kooler.local) | Ko0ler | — |
| Domínio (kooler.local) | user1 | — |
