Sítě. predn_11.odt :05:30 1

Transkript

1 Sítě predn_11.odt :05:30 1

2 Sítě v operačním systému Unix Sítě jsou složité pro zjednodušení jsou řešeny po vrstvách ISO/OSI model - od teorie k praxi příliš se neujal 7 vrstev používán pro klasifikaci a výuku TCP/IP - od praxe k teorii sada protokolů implementovaných na internetu 4 resp. 5 vrstev specifikován pomoci RFC Protokol je sada pravidel popisujících výměnu dat. Pro TCP/IP jsou nejčastěji popsány v tzv. RFC. predn_11.odt :05:30 2

3 ISO/OSI Síťové modely TCP/IP Application Presentation Application Session Transport Transport Network Internet Link Network Interface Physical Hardware predn_11.odt :05:30 3

4 Zapouzdřování (enkapsulace) system1: system2: vi telnet Aplikační data Aplikační vrstva - zprávy (telnet protokol) telnetd Aplikační data TH Aplikační data Transportní vrstva - pakety (TCP) TH Aplikační data IH TH Aplikační data IP vrstva - datagramy (IP) IH TH Aplikační data FH IH TH Aplikační data FT Síťová a fyzická vrstva - rámce (ethernet) FH IH TH Aplikační data FT predn_11.odt :05:30 4

5 Síťová a fyzická vrstva Topologie: Sběrnice (bus) původní ethernet na koaxiálním kabelu Hvězda (star) ethernet na kroucené dvojlince Kruh (ring) TokenRing (IBM) Metodologie: Pravděpodobnostní: CSMA/CD (Ethernet) Deterministická TokenRing Spojovaná ATM predn_11.odt :05:30 5

6 Protokoly: Ethernet, TokenRing, ATM fyzické přenosové protokoly SLIP (Serial Line IP) - přenos IP po sériové lince PPP (Point to Point Protokol) - novější způsob přenosu IP po sériové lince ARP (Address Resolution Protocol) - mapování IP adres do fyzických adres přenosového protokolu RARP (Reverse Address Resolution Protocol) - zjištění IP adresy na základě fyzické adresy predn_11.odt :05:30 6

7 Ethernet Adresace na ethernetu fyzická adresa, MAC adresa, 6 bytů psaných hexa oddělené dvojtečkou 3 byty přidělené výrobci, 3 byty určovány výrobcem různé karty mají (by měly mít) různé fyzickéadresy Typy adres: broadcast: ff:ff:ff:ff:ff:ff multicast unicast 01:00:5e:xx:xx:xx ostatní adresy Rozhraní předává ke zpracování: broadcasty, definované mulicasty a unicast s vlastní adresou - normální činnost nebo vše (promiskuitní režim) - sledovánísítě, výrazně více zatěžuje systém predn_11.odt :05:30 7

8 Struktura ethernetového rámce: 8B 6B 6B 2B max. 1500B 4B preamble adresa cíle adresa zdroje typ (>=5dd) resp. délka (<5dd) data CRC Výpis konfigurace rozhraní: ifconfig interface nei0 nei0: flags= <up,broadcast,running,multicast,ipv4> mtu 1500 index 2 inet netmask ffffff00 broadcast ether 0:80:48:ed:84:17 predn_11.odt :05:30 8

9 CSMA/CD Host has message Carrier sense Traffic on network? Yes No Collision detection Success No Send message and check for collision. In case of collision, transmit jam and stop. Was there a collision Yes Wait, back of exponentially predn_11.odt :05:30 9

10 Výpis nakonfigurovaných rozhraní a informace o přenesených paketech: netstat -i root@solaris/root>netstat -i Name Mtu Net/Dest Address Ipkts Ierrs Opkts Oerrs Collis Queue lo loopback localhost nei solaris Kolize normální jev, pokud nepřesahuje trvale 10%, nevadí Chyby nesmí být, pokud se vyskytují pravidelně, znemožňují provoz na síti predn_11.odt :05:30 10

11 Segment sítě jeden fyzický úsek sítě (koaxiální kabel zakončený odpory, jeden kroucený kabel) Opakovač (repeater, hub) spojuje segmenty sítě do tzv. kolizní domény šíří všechny pakety včetně kolizí a chyb (může chybový port odpojit) Přepínač (switch, most, bridge) přepíná pakety na linkové vrstvě na základě fyzických adres spojuje kolizní domény a přenáší mezi nimi jen potřebná data zvyšuje bezpečnost sítě a zmenšuje zátěž sítě může podporovat virtuální sítě (vlan) predn_11.odt :05:30 11

12 IP vrstva Protokoly: IP (Internet Protocol)přenos datagramů mezi dvěma uzly sítě Definuje adresaci a směrování. Dvě verze: IPv4 a IPv6 ICMP (Internet Control Message Protocol) testování a přenos chybových zpráv Adresy IPv4: 4 byty psané dekadicky po bytech oddělené tečkou adresa rozdělena na adresu sítě a adresu uzlu Třídy adres (x = část adresy sítě, y = adresa uzlu, z = multicast adresa): A: y.y.y B: x.y.y C: x.x.y D: z.z.z predn_11.odt :05:30 12

13 Speciální adresy: 127.y.y.y rezervováno pro tzv. loopback Adresa s nulovou částí adresy uzlu: adresa sítě Adresa s jedničkovou částí adresy uzlu: broadcast použita v případě když vlastní adresa není známa (RARP) 10.y.y.y, y.y, y.y lze použít jako privátní adresy. Nikdy se nesmí objevit na Internetu. predn_11.odt :05:30 13

14 Výpis nastavení síťového rozhraní: nei0 nei0: flags= <up,broadcast,running,multicast,ipv4> mtu 1500 index 2 inet netmask ffffff00 broadcast ether 0:80:48:ed:84:17 Ověření průchodnosti cesty: root@solaris/root>ping dilna dilna is alive root@solaris/root>ping -s dilna PING dilna: 56 data bytes 64 bytes from dilna ( ): icmp_seq=0. time=1. ms 64 bytes from dilna ( ): icmp_seq=1. time=1. ms ^C ----dilna PING Statistics packets transmitted, 4 packets received, 0% packet loss round-trip (ms) min/avg/max = 1/1/1 predn_11.odt :05:30 14

15 Náhrada adres jménem pomůcka pro uživatele překlad jmen na adresy (a naopak) se nazývá "resolvování" jméno může být jednoduché nebo doménové překlad je pomocí: souboru /etc/hosts distribuované služby DNS (implementováno např. programem named) jmenných služeb NIS, NIS+, LDAP druh překladu bývá určován souborem /etc/nsswitch.conf Příklad: /etc/hosts # # Internet host table localhost solaris loghost dilna root@solaris/root>grep hosts /etc/nsswitch.conf hosts: files predn_11.odt :05:30 15

16 Směrování (forwarding, routing): způsob doručování odchozích datagramů: přímý - cíl leží v broadcastové doméně (arp) nepřímý - přímé doručení na příslušný router přepínání datagramů v mezilehlých uzlech (routerech) je obvykle ovlivněno adresou sítě, nikoliv adresou uzlu Maska sítě (implicitní a explicitní): definuje rozdělení adresy na adresu sítě a adresu uzlu na Solarisu jsou masky v souboru /etc/netmasks Subsítě: pomocí masky sítě delší než je implicitní se jedna síť rozdělí na více podsítí. VLSM (Variable Length Subnet Masks): maska podsítě není konstantně dlouhá ale má různou délku pro různé podsítě CIDR (Classless Inter Domain Routing) sdružování více sítí do jedné pomocí masky kratší než je implicitní predn_11.odt :05:30 16

17 Směrování v Unixu je integrováno v jádře je řízeno tabulkou (položky: adresa, maska, doručovací adresa) může být zakázáno pro příchozí pakety (obvykle parametr ip_forwarding) Princip směrování: Setřídit položky směrovací tabulky podle délky masky od nejdelší (32, host) po nejkratší (0, default). Aplikovat na odchozí IP adresu masku z tabulky a porovnat s adresou v tabulce je-li rovno, pak: je-li doručovací adresa v tabulce adresa lokálního rozhraní, doruč přímo (arp) ne-li, doruč přímo na tuto adresu (adresa routeru, který doručí dále) ne-li rovno, pokračuj další položkou. Není-li nalezena shoda, pošli nazpět zprávu o chybě pomocí ICMP predn_11.odt :05:30 17

18 Směrovací tabulka se nastavuje: kernelem při konfiguraci síťového rozhraní příkazem ifconfig ručně resp. staticky při startu příkazem route dynamicky démony, které implementují speciální routovací protokoly rdisc implementace protokolu Router Discovery na Sunech routed implementace protokolu RIP gated implementace protokolů RIP, OSPF, BGP a další predn_11.odt :05:30 18

19 Výpis směrovací tabulky: -rnv IRE Table: IPv4 Destination Mask Gateway Device Mxfrg Rtt Ref Flg Out In/Fwd bge0 1500* 0 1 UG bge0 1500* 0 1 UG bge0 1500* 0 1 U bge2 1500* 0 1 U bge3 1500* 0 1 U bge0 1500* 0 1 U 0 0 default bge0 1500* 0 1 UG lo0 8232* UH Ověření cesty k cíli: root@solaris/root>traceroute dilna traceroute to dilna ( ), 30 hops max, 40 byte packets 1 dilna ( ) ms ms ms predn_11.odt :05:30 19

20 Unix jako router vyžaduje 2 nebo více síťových rozhraní musí být povoleno v jádře, obvykle parametrem ip_forwarding příkazu ndd obvykle na něm běží routovací daemoni Unix jako firewall router který filtruje provoz podle zadaných pravidel může být součástí jádra nebo speciální produkt predn_11.odt :05:30 20

21 Transportní vrstva Doplňuje adresaci uzlů o adresaci aplikací běžících na uzlech (o tzv. porty) Protokoly: přiřazení čísel protokolům je v souboru /etc/protocols TCP (Transmissin Control Protocol) UDP (User Datagram Protocol) mezi aplikacemi Porty: 64k portů TCP a 64k portů UDP oboustranný spojovaný zabezpečený proud dat nespojovaný, nezabezpečený přenos datagramů porty jsou privilegované - mohou být použity pouze aplikacemi s UID=0 v /etc/services jsou uvedeny porty přidělené standardním aplikacím: root@solaris/root>grep telnet /etc/services telnet 23/tcp predn_11.odt :05:30 21

22 Aplikace Model klient server Aplikace je obvykle tvořena klientem (volaným přímo uživatelem) a serverem (běžícím nebo podle potřeby odstartovaným démonem). Aplikace se píší metodou socketů (BSD) nebo RPC. Sockety obdoba souborů většina portů z /etc/services je používána pomocí socketů Typické aplikace: telnet, ftp, rlogin, sendmail, named predn_11.odt :05:30 22

23 RPC (Remote Procedure Call) síťové operace jsou zamaskovány pomocí volání procedur, které se provádějí na vzdáleném uzlu Jedna z implementací je od firmy Sun jako součást tzv. ONC (Open Network Computing) Je to TI-RPC (Transport Independent) - vazba na transportní vrstvu může být až při startu aplikace, ne při jejím psaní. Součástí je protokol XDR (externl Data representation) zaručujícísprávné předávání datových typů mezi různými platformami Přidělování portů může být dynamické pomocí démona rpcbind (dříve portmap) Typické aplikace: NFS: mountd, dfshares, dfmounts NIS+, NIS: ypcat, ypwhich spray Informace o RPC programech běžících na uzlu lze získat příkazem rpcinfo predn_11.odt :05:30 23

24 Start serverů aplikací: ručně startovacím skriptem při startu systému programem inetd Program inetd startován při startu systému načítá konfigurační soubor inetd.conf může startovat jak socketové tak RPC aplikace poslouchá na požadovaných portech a pří požadavku na spojení startuje démona běží s UID=0 a proto může být použit k útokům na systém pro zvýšení bezpečnosti lze použít tzv. wrappery: programy startované z inetd místo démona provedou kontrolu přípustnosti požadavku a buďto jej odmítnou nebo odstartují démona predn_11.odt :05:30 24

25 Výsek z /etc/inetd.conf: # Configuration file for inetd(1m). See inetd.conf(4). # # To re-configure the running inetd process, edit this file, then # send the inetd process a SIGHUP. # # Syntax for socket-based Internet services: #<service_name> <socket_type> <proto> <flags> <user> <server_path> <args> # # Syntax for TLI-based Internet services: # # <service_name> tli <proto> <flags> <user> <server_pathname> <args> # Ftp and telnet are standard Internet services. # ftp stream tcp6 nowait root /usr/sbin/in.ftpd in.ftpd telnet stream tcp6 nowait root /usr/sbin/in.telnetd in.telnetd # # Rquotad supports UFS disk quotas for NFS clients # rquotad/1 tli rpc/datagram_v wait root /usr/lib/nfs/rquotad rquotad predn_11.odt :05:30 25

26 Výpis aktivních spojení: -a UDP: IPv4 Local Address Remote Address State *.route Idle *.* Unbound *.sunrpc Idle *.* Unbound * Idle TCP: IPv4 Local Address Remote Address Swind Send-Q Rwind Recv-Q State *.* *.* IDLE *.sunrpc *.* LISTEN *.* *.* IDLE *.ftp *.* LISTEN *.telnet *.* LISTEN *.shell *.* LISTEN localhost localhost ESTABLISHED localhost localhost ESTABLISHED predn_11.odt :05:30 26