ko0ler/homelabДомашняя лаборатория GNS3, документирующая сегментированную сеть с межсетевым экраном Cisco ASAv, ядром L3, DMZ и доменом Active Directory для практики в области сетей, системного администрирования и наступательной безопасности.
HomeLab — это лаборатория GNS3, развёрнутая на одном ноутбуке (OMEN 16, i7-14650HX, 32 ГБ ОЗУ, RTX 4060 8 ГБ) для практики в области сетей, системного администрирования и наступательной безопасности в единой среде. Она моделирует периметр с DMZ (Cisco ASAv), маршрутизируемое ядро (SW-L3 + два коммутатора доступа) и домен Active Directory kooler.local, работающий на Windows Server 2025. Атакующие платформы (Kali, ParrotOS/Exegol) размещены в недоверенном внешнем сегменте рядом с NAT-шлюзом в интернет.
Цепочка: Kali/Exegol + NAT (Switch-X) → Router → ASAv Firewall (с плечом DMZ) → SW-L3 → L2-SW-1 / L2-SW-2 (VLAN).
| Сегмент | Подсеть | Примечания |
|---|---|---|
| Внешний / недоверенный | 192.168.160.0/24 | Switch-X: Kali/Exegol, NAT cloud; Router на .100 |
| Router ↔ FW outside | 10.10.3.0/29 | Router .1, ASA outside .2 |
| FW ↔ DMZ | 10.10.2.0/30 | ASA dmz .2, Ubuntu .1 |
| FW ↔ SW-L3 (inside) | 10.10.1.0/30 | ASA inside .2, SW-L3 .1 |
| VLAN 30 | 192.168.30.0/24 | PC-C, PC-D |
| VLAN 40 | 192.168.40.0/24 | за L2-SW-2 — Windows 10, PC-B |
| VLAN 50 | 192.168.50.0/24 | за L2-SW-1 — Windows Server 2025 (DC01), PC-A |
| VLAN 100 | 192.168.100.0/24 | SVI присутствует на SW-L3; транкирован, пока не в object group ASA |
Транковые линки SW-L3 ↔ L2-SW-1/L2-SW-2 несут VLAN 30, 40, 50, 100 (native VLAN 999, dot1q).
| Устройство | Роль | Платформа | Ключевые интерфейсы |
|---|---|---|---|
| Router | Граничный маршрутизатор, шлюз со стороны NAT | Cisco IOSv 15.9 | Gi0/0 10.10.3.1/29 (к FW); Gi0/1 192.168.160.100/24 (к Switch-X) |
| FW | Периметровый межсетевой экран, DMZ | Cisco ASAv 9.22(1)1 | outside 10.10.3.2/29; dmz 10.10.2.2/30; inside 10.10.1.2/30 |
| SW-L3 | Основной L3-коммутатор, межVLAN-маршрутизация | Cisco IOSv L2 15.2 | Gi0/0 10.10.1.1/30 (к FW); Gi0/1-0/2 транки к L2-SW-1/2; SVI для VLAN 30/40/50/100 |
| L2-SW-1 | Коммутатор доступа | Cisco IOSv L2 15.2 | Порты доступа VLAN 50 (WinServer2025, PC-A) |
| L2-SW-2 | Коммутатор доступа | Cisco IOSv L2 15.2 | Порты доступа VLAN 40 (Windows 10, PC-B); VLAN 30 (PC-D) |
ASAv лицензирован в рамках Smart Licensing Using Policy, работает в Evaluation Mode с уровнем функций standard и уровнем пропускной способности 1G, объявленными локально (без регистрации в CSSM).
| Хост | ОС / сборка | Имя хоста | IP / VLAN | Сервисы |
|---|---|---|---|---|
| Kali | Kali Linux 2026.2 (VMware amd64) | Kali | 192.168.160.130 (внешний сегмент) | Платформа атакующего |
| ParrotOS/Exegol | ParrotOS + Exegol | — | внешний сегмент (Switch-X) | Платформа атакующего |
| Ubuntu | Ubuntu Desktop 26.04 | ko0ler-VMware-Virtual-Platform | 10.10.2.1 (DMZ) | DVWA, bWAPP, httpbin, FTP, Samba, MySQL |
| WindowsServer 2025 | Windows Server 2025 | DC01 | 192.168.50.10 (VLAN 50) | ADCS, ADDS, DHCP, DNS, MSSQL — контроллер домена kooler.local |
| Windows 10 | Windows 10 | PC1 | DHCP (VLAN 40) | Рабочая станция в домене |
| PC-A | VPCS | — | VLAN 50 (.15) | — |
| PC-B | VPCS | — | VLAN 40 (.15) | — |
| PC-C | VPCS | — | VLAN 30 (.1) | — |
| PC-D | VPCS | — | VLAN 30 (.2) | — |
Контроллер домена: DC01 (Windows Server 2025, 192.168.50.10), на котором одновременно работают ADCS, ADDS, DHCP, DNS и MSSQL — намеренно перегруженный DC для практики по поверхности атаки (раскрытие сервисных учётных записей, неверная конфигурация шаблонов ADCS, SQL на DC и т. д.).
| Учётная запись | Область | Примечания |
|---|---|---|
| Administrator | Локальная (DC01) | Встроенный локальный администратор |
| Ko0ler | Пользователь домена | — |
| user1 | Пользователь домена | — |
Windows 10 (PC1) присоединён к kooler.local; локальный вход ko0ler также существует на этой машине отдельно от доменной учётной записи.
| Пара зон | Направление | Разрешено |
|---|---|---|
| outside → DMZ | входящее | HTTP(80), HTTPS(443), 8080, 8070, 8060 к Ubuntu (10.10.2.1); ICMP |
| DMZ → outside | исходящее | HTTP, HTTPS, DNS(53) |
| DMZ → inside | — | запрещено |
| inside → DMZ | исходящее | полный IP к Ubuntu |
| inside → outside | исходящее | полный IP, PAT через внешний интерфейс ASA |
NAT: PAT для внутренних подсетей (192.168.30/40/50.0/24, динамический, через внешний интерфейс ASA) и статический NAT для хоста DMZ (10.10.2.1 → 10.10.3.3, DMZ_MAPPED). Примечание: межVLAN-трафик между VLAN 30/40/50 никогда не проходит через ASA — SW-L3 маршрутизирует его локально, поэтому межсетевой экран видит только трафик north-south (DMZ/outside).
Отслеживается в CHANGELOG.md.
Учётные данные лаборатории намеренно не коммитятся в этот репозиторий.
| Область | Учётная запись | Хост |
|---|---|---|
| Локальная | kali | Kali |
| Локальная | ko0ler | Ubuntu |
| Локальная | ko0ler | Windows 10 (PC1) |
| Локальная | Administrator | DC01 |
| Домен (kooler.local) | Ko0ler | — |
| Домен (kooler.local) | user1 | — |
