Materiały informacyjne oraz konspekt wicze z przedmiotu Systemy Sygnalizacji i Zarzdzania Sieciami - LAB.

Transkrypt

1 Materiały informacyjne oraz konspekt wicze z przedmiotu Systemy Sygnalizacji i Zarzdzania Sieciami - LAB. dr in. Krzysztof Wajda mgr in. Piotr Chołda mgr in. Wojciech Dziunikowski mgr in. Andrzej Szymaski (dr in. Paweł Łopata) Strona 1 z 18

2 Rok 2003/2004, semestr letni, Telekomunikacja IV Strona 2 z 18

3 Formuła zaj LAB oraz warunki zaliczenia przedmiotu WARUNKI I WYMAGANIA NA ZALICZENIE: 1. Wykonanie laboratoryjnych wicze sprztowych #1 do #4, w cigu całego semestru. Wymagana jest obecno na wiczeniu, wykonywanie operacji np. wg proponowanego scenariusza. Nie jest wymagane sprawozdanie. wiczenia te bd wykonywane w sali 017. #1 - wiczenie sprztowe #1, sala 017: Podgld konfiguracji switch-a ATM ASX200 przez SNMP (HW config, ports, channels). #2 - wiczenie sprztowe #2, sala 017: Intel 6000 podgld konfiguracji switch-a GigabitEthernet, monitoring parametrów, monitoring RMON, zdalne akcje. #3 - wiczenie sprztowe #3, sala 017: VLAN Configuration na bazie switch-a Intel #4 - wiczenie sprztowe #4, sala 017: Lan Emulation. [wiczenie opcjonalne] 2. Wykonanie wiczenia samodzielnego LAB-S Wykrywanie urzdze z agentami SNMP oraz analiza ruchu w sieci KT na bazie SNMP. Do dyspozycji dla studentów jest sala 128/129. Nie jest wymagana obecno (moliwa jest praca zdalna). Dla celów tego wiczenia na komputerze sunum zainstalowany został pakiet NET-SNMP Do dyspozycji s równie PC z systemem Linux, labatm3 lub labatm4 (konta studenckie takie jak na sunum). Jest do nich dostp z zewntrz, z Internetu. Realizacja wiczenia polega na rozpoznaniu moliwoci pakietu UCD/NET-SNMP, przygotowaniu odpowiednich narzdzi (skryptów do zbierania informacji, danych o urzdzeniach i danych ruchowych) ich uruchomieniu, nastpnie pozbieraniu wyników i ich opracowaniu. Wymagane jest opracowanie sprawozdania kocowego i dostarczenie w postaci elektronicznej bd tradycyjnej papierowej. Sprawozdanie, ma na celu podsumowanie wyników osignitych podczas przeprowadzania dowiadcze [opis szczegółowy w rozdziale LAB-S]. W sprawozdaniu naley zawrze cztery elementy: opisa metod pobierania danych (jakie dane ródłowe cigane co jaki czas, itp.), zrobi zestawienie wykrytych urzdze SNMP i podstawowych informacji o nich (np. tabela), zrobi odpowiednie opracowanie wyników pomiarów ruchu (np. tabele, wykresy), przedstawi własny opis tego co wida na opracowanych charakterystykach oraz własne wnioski (najistotniejsza cz sprawozdania) dotyczce tego co w badanym okresie działo si w sieci. Dopuszczalne jest opracowanie wiczenia LAB-S i sprawozdania w grupach 2-3 osobowych. PODZIAŁ NA PODGRUPY: Ze wzgldu na ograniczon pojemno sal 128/129 i stanowisk w lab 017, na jednym spotkaniu cz osób bdzie (ma moliwo) pracowa samodzielnie (128/129) nad opracowaniem wiczenia LAB-S. Druga cz grupy (maksymalnie dwa razy po trzy-cztery osoby) bdzie pracowała, na jednym z dwóch dostpnych na raz, wybranych stanowiskach w sali 017. Strona 3 z 18

4 Materiały informacyjne Z załoenia ponisza dokumentacja do laboratoriów z przedmiotu Systemy Sygnalizacji i Zarzdzania, cz Zarzdzanie ogranicza si do informacji niezbdnych do przeprowadzenia poszczególnych wicze. Zakłada ona znajomo podstaw SNMP (Patrz wykład i materiały do wykładu oraz dokumenty RFC 1155, 1156, 1157, 1213) i nie tłumaczy szczegółowo architektury standardu SNMP, ani te struktury MIB/MIT i samego protokołu SNMP. Aby dobrze przygotowa si do samodzielnego wiczenia laboratoryjnego warto zapozna si szczególnie z definicj standardowego MIB (MIBv2 patrz dokument RFC 1213, lub udostpnione materiały z wykładu). Do wicze sprztowych warto zapozna si z definicjami MIB dla switch a ATM (ASX 200) oraz GB Ethernet (Intel 6000). Dziki temu wiadomo bdzie jakie moliwoci monitoringu zdalnego s oferowane przez te urzdzenia, czyli jakie parametry moemy obserwowa przez SNMP. Dla przeprowadzania dowiadcze i wicze dostpne s dwa komputery z systemem Linux. Wszyscy studenci IV roku T maj tam załoone indywidualne konta. S to labatm3.kt.agh.edu.pl ( ) oraz labatm4.kt.agh.edu.pl ( ). Na komputerach tych zainstalowany jest pakiet UCD-SNMP. Dodatkowo dowiadczenia z SNMP mona prowadzi pracujc na komputerze eit.kt.agh.edu.pl (sunum), na którym zainstalowany jest pakiet NET-SNMP (nowsza wersja). Dostp do switch a ATM (asx.kt.agh.edu.pl ) w ramach wicze sprztowych mona realizowa z komputera labatm1, lub labatm2 (stanowiska obok switch a w sali 017). Switch asx, switch labatm5 (Intel 6000) oraz komputery labatm1 do labatm4, s dostpne zdalnie, zarówno z sieci KT-AGH (np. z sal 128/129), jak i z Internetu. KONTAKT Pawel.Lopata@kt.agh.edu.pl tel.: lub Krzysztof.Wajda@kt.agh.edu.pl LITERATURA (podstawowa do wicze): - RFC 1155 struktura / architektura standardu SNMP - RFC 1156 opis MIB dla SNMP - RFC 1157 opis protokołu SNMP - RFC 1213 opis MIBv2 dla SNMP - fore-switch.mib opis MIB switch a ATM FORE ASX200 - intel-6000-switch-mib.mib opis MIB switcha GB Ethernet Intel intel-common-mib.mib definicje bazowe MIB switcha GB Ethernet Intel 6000 (pomocnicza): - P. Czarnecki, A. Jajszczyk, J. Lubacz: Standardy zarzdzania sieciami OSI/NM, TMN, Wydawnictwa EFP, Pozna, M. Sloman: Network & Distributed Systems Management - M. Subramanian: Network Management, Principles & Practice Strona 4 z 18

5 wiczenie samodzielne LAB-S Pakiet UCD-SNMP / NET-SNMP podstawy i wykrywanie agentów SNMP Cel: wiczenie ma na celu zapoznanie si z podstawowymi moliwociami pakietu oprogramowania UCD/NET-SNMP oraz wykonanie przy jego pomocy podstawowego rozpoznania wzłów sieci lokalnej, wyposaonych w agentów SNMP i obsługujcych zapytania SNMP. Informacje: Oprogramowanie UCD/NET-SNMP udostpnia biblioteki i narzdzia zwizane z obsług protokołu SNMP (Simple Network Management Protocol). Zawiera agenta SNMP (extensible agent), bibliotek programistyczn SNMP oraz narzdzia do pobierania i ustawiania wartoci zmiennych (parametrów) w systemach zarzdzanych, poprzez uycie protokołu SNMP i agentów SNMP, pracujcych w tych wzłach. Strona www projektu NET-SNMP: Podstawowe polecenia (narzdzia) oprogramowania UCD/NET-SNMP: a) snmpget Składnia dla wersji NET-SNMP: snmpget [options...] <hostname> [<objectid>...] Składnia dla wersji UCD-SNMP: snmpget [options...] <hostname> <community> [<objectid>...] Wywołanie snmpget bez podania parametrów wywietla dokładny opis wszystkich moliwych opcji. W miejsce <hostname> naley poda IP adres lub nazw komputera, lub dowolnego wzła sieci IP, na którym pracuje agent SNMP. <objectid> to identyfikator zmiennej (parametru), który chcemy z danego wzła pobra (odczyta). Identyfikatorów tych moe by wicej w jednym zapytaniu. Waniejsza opcja (NET-SNMP) to c community gdzie community to obowizkowe hasło dostpu do agenta SNMP. Hasło to moe by i z reguły jest inne dla odczytu (snmpget) ni dla zapisu czy modyfikacji wartoci zmiennej (snmpset). Inna opcja to m mibfile gdzie mibfile jest plikiem z definicj zmiennych niestandardowych, jeli wiemy, e agent obsługuje te zmienne. Opcja ta powoduje załadowanie definicji z podanego pliku (plik powinien znajdowa si w odpowiednim katalogu np. /usr/local/share/snmp/mibs), co umoliwi automatyczn konwersj ciganych wartoci na posta czyteln dla człowieka. Ewentualnie m ALL lub m all (w zalenoci od wersji snmpget) powoduje załadowanie wszystkich plików z definicjami MIB, znajdujcych si w odpowiednim katalogu. Identyfikator zmiennej SNMP (OID) ma posta cigu liczb całkowitych rozdzielonych kropkami. Bezwzgldny identyfikator zmiennej (jednoznacznie rozrónialny) rozpoczyna si od kropki (od korzenia drzewa MIT, czyli drzewa identyfikujcego wszystkie zmienne z bazy MIB agenta SNMP). Pakiet NET-SNMP instaluje te kilka wybranych, standardowych modułów MIB, co umoliwia automatyczn konwersj OID-ów, na bardziej czytelne etykiety zmiennych. W przypadku standardowych parametrów MIB, wystarczy wic uywa etykiet zmiennych, z odpowiednim sufiksem identyfikujcym instancj zmiennej. Przykłady: snmpget c public sunum.kt.agh.edu.pl snmpget c ktsnmp s1.kt.agh.edu.pl snmpget c public saturn.kt.agh.edu.pl sysdescr.0 sysuptime.0 W powyszych przykładach wszystkie zmienne, o które pytano s zmiennymi prostymi, czyli posiadaj tylko jedn instancj (warto). Z tego powodu do identyfikatora zmiennej dodano sufiks.0. Mona tutaj zauway, e zmienna o identyfikatorze OID równym jest t sam co sysdescr i zwraca opis danego wzła sieci IP (oczywicie jest on inny dla kadego komputera w sieci np. sunum to SUN Ultra-4, a saturn to SUN Ultra 250). Zadanie: Znale wszystkie komputery w sieci KT-AGH, które wyposaone s w agentów SNMP. W tym celu najlepiej napisa skrypt UNIX-owy (sh, lub csh), który przepyta kolejno poszczególne adresy IP sieci katedralnej, próbujc cign opis zmiennej sysdescr. Prób naley wykona dla community (haseł) public oraz ktsnmp. Naley wykona zestawienie adresów, nazw komputerów, haseł community, oraz opisu systemu o danym IP. Bdzie to przydatne w dalszych wiczeniach. Strona 5 z 18

6 Uwaga: Próby wykonywania zapyta SNMP w sieci publicznej Internet lub akademickiej AGH, od pewnego czasu s czsto błdnie poczytywane za próby włamania! S traktowane czasem tak, jak próby skanowania portów TCP/UDP (czyli z reguły pierwsza faza włamania) i dlatego nie naley próbowa wiczy SNMP poza sieci KT-AGH, jeli si nie chce mie z tego powodu kłopotów. b) snmpgetnext Składnia jak dla polecenia snmpget. Wywołanie snmpgetnext bez podania parametrów wywietla dokładny opis wszystkich moliwych opcji. Jest to polecenie działajce niemal identycznie, jak snmpget, jednak wysyłanym komunikatem SNMP jest getnext, a nie zwykłe get. Działanie tego narzdzia sprowadza si do pobrania wartoci zmiennych (parametrów) z MIB danego agenta SNMP, które s nastpnymi w relacji NEXT, porzdkujcej drzewo MIT (patrz wykład lub RFC 1155, 1157). W efekcie dostajemy nowy OID i warto instancji zmiennej nastpnej w bazie MIB, znajdujcej si zaraz po identyfikatorze wzła drzewa MIT podanym jako objectid. Polecenie to słuy do sekwencyjnego przepytywania agentów SNMP i przede wszystkim do odczytu zmiennych tablicowych o nieznanej długoci tablicy i o nieznanych identyfikatorach wystpie zmiennych w tablicy (nieznanych OID-ach instancji). Przykłady: snmpgetnext sunum public iftype ifdescr ifspeed -- w zapytaniu nie podajemy sufiksu! czyli OID-a instancji; zostanie on zwrócony w odpowiedzi, -- w odpowiedzi dostajemy typ, opis i prdko pierwszego interfejsu sieciowego komputera (sufiks.1) snmpgetnext sunum public iftype.1 ifdescr.1 ifspeed.1 -- w odpowiedzi dostajemy typ, opis i prdko drugiego interfejsu sieciowego komputera (sufiks.2) snmpgetnext sunum public iftype.2 ifdescr.2 ifspeed.2 -- w odpowiedzi nie dostajemy ju kolejnego typu, opisu i prdkoci to oznacza koniec tablicy; zatem s tylko dwa interfejsy sieciowe w tym komupterze. Istnieje te zmienna ifnumber (instancja prosta ifnumber.0), która informuje o liczbie interfejsów sieciowych danego wzła IP. Mona sprawdzi jej warto przy pomocy: snmpget sunum public ifnumber.0 Zadanie: Znale i zestawi informacje o interfejsach sieciowych wszystkich komputerów sieci KT, które odpowiedziały na zapytania SNMP. c) snmpwalk Składnia jak dla polecenia snmpget. Wywołanie snmpwalk bez podania parametrów wywietla dokładny opis wszystkich moliwych opcji. Polecenie to automatycznie ciga cał zawarto poddrzewa MIT od wzła podanego jako <objectid>. Upraszcza wic ciganie zmiennych tablicowych, ale nie słuy wyłcznie do cigania tablic ma szersze działanie. Przykłady: snmpwalk sunum public ifspeed -- w odpowiedzi dostajemy od razu wartoci wszystkich instancji zmiennej prdko interfejsów sieciowych snmpwalk sunum public interfaces -- w odpowiedzi dostajemy od razu wartoci wszystkich parametrów z grupy interfaces, czyli liczb interfejsów sieciowych, oraz wszystkie parametry, wszystkich interfejsów. (polecenie warto uruchomi z przekierowaniem strumienia stdout do komendy more, co pozwoli łatwiej zaobserwowa wszystkie wywietlane parametry, czyli snmpwalk... more). Zadanie: Pobra informacje o interfejsach sieciowych switchy s1.kt.agh.edu.pl, s2, s3 oraz s4, zweryfikowa, który interfejs jest logicznym interfejsem VLAN i zrobi zestawienie, które komputery w sieci KT s widoczne na interfejsach switchy obsługujcych VLAN. W tym celu naley uy zmiennej tablicowej ipnettomediatable lub attable. d) snmptable Składnia jak dla polecenia snmpget. Strona 6 z 18

7 Wywołanie snmptable bez podania parametrów wywietla dokładny opis wszystkich moliwych opcji. Polecenie to automatycznie ciga cał zawarto poddrzewa MIT od wzła podanego jako <objectid>, o ile jest to tablica. Działa wic podobnie do snmpwalk, ale tylko dla zmiennych tablicowych! Narzdzie to formatuje wydruk w sposób przyjazny dla uytkownika i zgodnie z ewentualnymi opcjami. Przykłady: snmptable s1.kt.agh.edu.pl ktsnmp attable snmptable s1.kt.agh.edu.pl ktsnmp ipnettomediatable snmptable sunum.kt.agh.edu.pl public tcpconntable Zadania: Zrobi zestawienie odwzorowania adresów IP na adresy fizyczne MAC, dla komputerów sieci KT-AGH, na podstawie informacji uzyskanych ze switchy s1, s2, s3, s4. Zrobi zestawienie wszystkich połcze HTTP, SSH, FTP nawizanych z komputerem sunum.kt.agh.edu.pl, w danej chwili. Napisa skrypt lub program, który co pewien okres czasu (np. 30 sek) bdzie przepytywał komputer sunum.kt.agh.edu.pl i zliczał liczb aktualnie nawizanych połcze tcp na podanych wczeniej portach (dla usług HTTP, SSH, FTP). Na tej podstawie naley opracowa charakterystyk (tylko liczba połcze) dobowego rozkładu połcze z serwerem sunum. Wskazówka: Aby wywietli wyłcznie linie zawierajce pewien wzór, mona posłuy si UNIX-owym programem awk. Do policzenia linii mona uy programu wc z opcj -l. Np.: snmptable sunum public tcpconntable awk ' $1 == "established" && $3 == "22" { print } ' spowoduje wywietlenie tylko tych linii, które w pierwszej kolumnie zawieraj słowo established oraz w trzeciej kolumnie warto 22, czyli tylko tych połcze, które maj status nawizane oraz s nawizane na porcie 22, czyli na porcie dla usługi ssh. Strona 7 z 18

8 Pakiet NET-SNMP analizy ruchu Cel: wiczenie ma na celu zapoznanie si z dynamicznymi parametrami SNMP MIB opisujcymi ruch w sieciach IP. Informacje: Podstawowe parametry opisujce ruch IP, znajduj si w standardzie MIB I i MIB II. S to zmienne SNMP typu licznik, które przechowuj skumulowan warto pewnych parametrów, gdzie kumulacja nastpuje od czasu ostatniego uruchomienia (lub restartu) agenta SNMP, do momentu przekrcenia si licznika. Po przekrceniu licznika, wartoci s zliczane od nowa. Parametry dotyczce statystyk ruchu w standardzie MIB-II mona podzieli generalnie na dwie klasy: ruch na interfejsach sieciowych (logicznych i fizycznych) poszczególnych wzłów sieci; oraz ruch w ramach protokołów sieciowych obsługiwanych przez dany wzeł sieci. Przy tym parametry w ramach poszczególnych protokołów (podgrupy) nie s ju rozbite na poszczególne porty, a dotycz całego urzdzenia lub komputera w sieci, za to tylko w ramach obsługi danego protokołu. Przykłady zmiennych: Grupa interfaces, zmienne tablicowe (indeks prosty.1.2.3, itd. dla kolejnych interfejsów): - ifinoctets, ifoutoctets liczba omiobitowych bajtów (oktetów) wchodzcych lub wychodzcych z poszczególnych interfejsów sieciowych danego komputera lub urzdzenia sieciowego. - ifinucastpkts, ifoutucastpkts, ifinnucastpkts, ifoutnucastpkts liczba pakietów (protokołu łcza danych) wchodzcych lub wychodzcych z poszczególnych interfejsów sieciowych danego komputera lub urzdzenia sieciowego, z adresami unicast lub non-unicast. - ifinerrors, ifouterrors liczby pakietów błdnych - inne zmienne patrz opis w dokumencie RFC 1157 lub 1213, dla grupy interfaces Grupa ip, zmienne proste (indeks.0 ) - ipinreceives, ipinhdrerrors, ipinaddrerrrs, ipindelivers pakiety IP przychodzce do danego wzła sieci (wszystkie; z błdami w nagłówku; z błdami w adresie; te które zostały przekazane dalej do wszystkich aplikacji na nie oczekujcych). - ipoutrequests, ipoutdiscards pakiety IP wychodzce z danego wzła sieci (liczba danych do wysłania przez wszystkie aplikacje danego wzła; liczba nie wysłanych, czyli odrzuconych). Grupa tcp, zmienne proste (indeks.0 ) - tcpcurrestab, tcpinsegs, tcpoutsegs, tcpretranssegs statystyki transmisji w ramach protokołu TCP (liczba nawizanych połcze established lub close-wait ; liczby odebranych i wysłanych segmentów TCP; liczba segmentów, które zostały wysłane w celu retransmitowania całoci lub czci wczeniej wysyłanych segmentów) Grupa udp, zmienne proste (indeks.0 ) - udpindatagrams, udpnoports, udpinerrors liczby odebranych datagramów UDP (które zostały dostarczone oczekujcej na nie aplikacji/port; dla których nie znaleziono oczekujcej na nie aplikacji/portu; dla których wystpiły inne błdy ni brak aplikacji/portu) - udpoutdatagrams sumaryczna liczba wysłanych datagramów UDP Grupa icmp, zmienne proste (indeks.0 ) - icmpinmsgs, icmpinerrors, icmpindestunreachs, icmpinechos, icmpinechoreps liczby odebranych pakietów ICMP / ping (sumaryczna; pakiety odebrane, które miały błdy; pakiety z informacj/odpowiedzi, e cel pingowania nie został osignity; pakiety z daniem echa; pakiety z odpowiedzi echo-replay) - icmpoutmsgs, icmpouterrors sumaryczna liczba wysłanych bd przeznaczonych do wysłania (ale nie wysłanych) pakietów ICMP / ping oraz liczba pakietów nie wysłanych z powodu błdów Wyej wymienione zmienne s tylko przykładami, w rzeczywistoci dla kadej grupy jest ich duo wicej (patrz materiały do wykładu lub RFC 1213) Zadanie: Opracowa program lub skrypt, który bdzie pracowa w tle, i zbiera statystyki ruchowe wybranych komputerów i ich portów (lub protokołów) w sieci KT-AGH. Opracowa wyniki (np. w Excel u) i przedstawi charakterystyki w formie wykresów dobowych i tygodniowych. Przedstawi własne wnioski. Istotne komputery to: sunum (eit) i saturn oraz switche s1 do s4. Istotne porty to ethernet dla komputerów, oraz VLAN dla switch-y. Istotne parametry to bajty wychodzce, bajty wchodzce, pakiety wychodzce, pakiety wchodzce, połczenia tcp, datagramy udp i inne do wyboru z w/w przykładów. Strona 8 z 18

9 wiczenia sprztowe LAB #1 Monitoring switch-a ATM poprzez SNMP Cel: wiczenie ma na celu pokazanie z poziomu SNMP obrazu / stanu switcha ATM i parametrów skonfigurowanych naturalnymi narzdziami do konfiguracji switcha ATM. Informacje: wiczenie / prezentacja wykonywana bdzie w czasie trwania całego semestru, w grupach kilku osobowych. Po skonfigurowaniu zadanych parametrów w switchu ATM, przeprowadzona zostanie obserwacja zmian tych parametrów, przy uyciu protokołu SNMP, agenta SNMP pracujcego na switchu i oprogramowania UCD/NET-SNMP. Switch ATM Fore ASX200, ma nazw asx.kt.agh.edu.pl i adres IP SNMP Community name do odczytu zmiennych to public. Zadania: Podgld konfiguracji fizycznej i logicznej switcha. Podział switcha na płyty/moduły/porty. Obserwacja stanu portów fizycznych i logicznych. Lista kanałów i cieek. Parametry kanałów i cieek. cigawka przykład scenariusza Przygotowanie Zalogowa si na stanowiskach labatm1 lub labatm2, na dwóch lub trzech konsolach. Róne konsole w systemie linux dla PC, dostpne s pod klawiszami Alt-F1, Alt-F2,... Na komputerach labatm1 i labatm2 jest konto wspólne dla wszystkich student:student W katalogu /home/materialy znajduj si dokumenty tekstowe RFC oraz opisy MIB. Na pierwszej z konsol naley otworzy dokument fore-switch.mib, np. w edytorze vi. [ vi /home/materialy/fore-switch.mib ] Na drugiej konsoli naley wykona logowanie na komputer labatm3 lub labatm4, na których zainstalowany jest pakiet NET-SNMP i konta osobiste studentów. [ np. ssh loginname@labatm3.kt.agh.edu.pl ] wiczenie naley rozpocz od przegldnicia dokumentu pod ktem ciekawych parametrów, które nastpnie bdzie mona próbowa pobiera i obserwowa. [ patrz MIB Groups z pocztku dokumentu ] Sprawdzi, czy switch ATM odpowiada na zapytania SNMP. [ snmpget asx public sysdescr.0 ] Przypomnie sobie do czego słu opcje m all, Os, -Ov, OT w poleceniach snmpget, snmpwalk, itp. To si póniej przyda. [ zawsze to mona sprawdzi piszc po prostu snmpget zostanie wywietlony help ] Odczyt konfiguracji fizycznej urzdzenia Z definicji MIB, naley wybra parametry, które opisuj konfiguracj fizyczn urzdzenia, to jest liczb i konfiguracj płyt głównych, liczb i konfiguracj modułów na płytach, liczb portów na modułach. [ boardgroup modulegroup hwporttable ] [ polecenie np. snmpwalk m all asx public moduletable more ] Okreli liczb płyt, modułów, portów fizycznych w modułach, typy modułów, liczb portów w poszczególnych modułach, nazwy portów. Wskaza odpowiednie moduły i porty na płycie czołowej switch a skonfrontowa konfiguracj podan przez agenta SNMP, z rzeczywistoci. Okreli jak indeksowany (chodzi o suffix do nazwy) jest kady kolejny obiekt, czyli zmienna w tablicy modułów. Skonfrontowa definicj klauzuli INDEX w MIB, z rzeczywistoci. [ definicja ModuleEntry ] Pytania do przemylenia: Co oznaczaj poszczególne liczby suffix u? [ patrz definicja moduleentry oraz ModuleEntry w pliku ] Strona 9 z 18

10 Okreli parametry portów fizycznych: typy portów, nazwy portów, stan operacyjny portu, stan administracyjny, czy dany port jest podłczony (nona). [ polecenie np. snmpwalk m all asx public hwporttable more ] Pytania do przemylenia: Czym si róni stan operacyjny od stanu administracyjnego? [ wskazówka: patrz definicja MIB zmienna hwportoperstatus, hwportadminstatus ] Co to za dziwny port o suffix ie.0.7.0? Dlaczego jest przypisany do modułu nr 7 (którego teoretycznie nie ma)? [ wskazówka: patrz definicja MIB zmienna hwportmodel pozycja model-asx(7) ] Wywietli stan operacyjny lub stan przyłczenia kabla (carrier) dla wszystkich portów [np. snmpwalk m all Os asx public hwportcarrier more ] Odpi kabel z wybranego portu RJ45, który wykazuje aktywno. Zweryfikowa stan portu po odpiciu kabla. Podłczy kabel z powrotem. Ponownie zweryfikowa stan portu podawany przez agenta SNMP. Konfiguracja logiczna urzdzenia Zbada konfiguracj software ow switcha. Przegldn zawarto obiektów w grupie software. Okreli parametry portów logicznych (wybra z MIB odpowiednie zmienne do przegldania). [ portgroup ] Okreli odwzorowanie portów logicznych na porty fizyczne. Pytania do przemylenia: Czym jest logiczny port 56? [ patrz porthwmodule.56 porthwnumber.56 ] Jak si ma indeksacja portów logicznych do indeksacji portów fizycznych? [ patrz definicje klauzul INDEX w odpowiednich TableEntry dla portów log. i fiz. ] Zweryfikowa czy jest jaki ruch na portach logicznych. Naley w tym celu wybra odpowiedni zmienn z tablicy portów i co pewien czas odczytywa jej zawarto. Sprawdzi czy warto licznika si zmienia przy kolejnych odczytach. [ np. snmpwalk m all OS asx public portreceivedcells more ] Zweryfikowa i skonfrontowa konfiguracj portów podawan przez agenta SNMP w zakresie standardu MIBv2 (RFC 1213) tablica interfejsów. [ np. snmpwalk asx public iftable more ] Zweryfikowa i skonfrontowa ruch na portach podawany przez agenta SNMP w zakresie objtym standardowymi zmiennymi (MIBv2) ifinoctets, ifoutoctets [np. snmpwalk asx public iftable more ] Okreli cieki wirtualne przechodzce przez switch. Odnale w MIB odpowiednie zmienne i wywietli je. [ zmienne pathtable, pathroutetable ] Zweryfikowa konfiguracj cieek wirtualnych podawan przez agenta SNMP, z konfiguracj odczytan bezporednio ze switcha, przy pomocy konsoli RS-232 (w tym celu naley zalogowa si bezporednio na switch ATM) Dostpna sesja telnet, bd login z fizycznie podłczonej konsoli, konto asx:foreatm Przykładowe polecenia shell a na switch u ASX, dostpne w ramach interfejsu konsolowego.? - wywietlenie help, dostpnego w aktualnym kontekcie conf - przejcie do menu (do kontekstu) konfiguracji switch a vpc - informacje o ciekach vcc - informacje o kanałach.. - przejcie do kontekstu nadrzdnego Okreli kanały, skonfrontowa informacje podawane przez agenta SNMP (zmienna channelroutetable, kolumna np. chanrsigprotocol), z informacjami podawanymi przez switch bezporednio z konsoli. [ wywietlanie bardziej przyjazne (krótkie nazwy), to opcja Os lub OS w poleceniach snmpwalk, snmpget ] Ewentualne inne obserwacje. Grupa timing z MIB oraz grupa signallinggroup. Konfrontacja z informacjami udostpnianymi przez switch ATM poprzez interfejs konsolowy. Na zakoczenie: Wylogowa si ze switcha ATM (asx) Wylogowa si z komputerów labatm1, labatm2, labatm3, labatm4 (sprawdzi wszystkie konsole! Alt-F1, Alt-F2,...) Strona 10 z 18

11 wiczenia sprztowe LAB #2 Monitoring sieci na poziomie warstwy 2 (Ethernet) Switch Intel 6000 Cel: wiczenie ma na celu pokazanie moliwoci standardu RMON obsługiwanego przez próbnik, znajdujcy si w switchu, bdcy urzdzeniem podłczanym do sieci ethernet i umoliwiajcym samodzielne monitorowanie i badanie statystyk ruchu na poziomie warstwy łcza danych. Drugi cel wiczenia to przegld moliwoci monitoringu switch a przy pomocy SNMP. Przegld zmiennych i próby odczytywania wartoci. Informacje: wiczenie wykonywane bdzie w czasie trwania całego semestru, w grupach kilku osobowych. Przeprowadzona zostanie obserwacja parametrów udostpnianych przez switch, przy uyciu protokołu SNMP, agenta SNMP pracujcego na switchu i oprogramowania UCD/NET-SNMP. Zwykle urzdzenie zgodne ze standardem RMON jest wyposaone w agenta SNMP obsługujcego standard MIB-2 oraz standard RMON, a take, czasami, niestandardowe rozszerzenia MIB zdefiniowane przez producenta. W ramach RMON próbnik moe wykonywa monitoring ruchu na poziomie ramek Ethernet z podziałem na róne wielkoci ramek. Wykonuje te samodzielnie zestawienia typu Host Top N, czyli zestawienia N urzdze sieciowych, posortowane ze wzgldu na warto wybranego parametru (np. liczby bajtów wysyłanych). Funkcja ta ma sens jedynie w segmentach sieci, stanowicych wspólne medium, w których obserwuje si nie-separowany ruch. Np. segmenty koncentryczne Ethernet, lub segmenty o topologii gwiazdy połczone hubami (bez separacji ruchu bez switch-owania), lub te ruch na SPAN portach switch-y (portach ustawionych w trybie SPAN, pozwalajcych na kumulacj i obserwacj całego ruchu przepływajcego przez switch). Dostp do urzdzenia odbywa si poprzez agenta SNMP, poprzez SNMP mona ustawia parametry statystyk, uruchamia, bd zatrzymywa zbieranie danych, a w efekcie kocowym pobiera przygotowanie samodzielnie przez agenta SNMP zestawienia w postaci tablic SNMP. Urzdzenie Intel 6000-Switch, ma nazw labatm5.kt.agh.edu.pl i adres IP SNMP Community name do odczytu zmiennych to public. Zadania: Odczyt konfiguracji switcha, konfiguracji portów fizycznych i logicznych. Konfiguracja VLAN. Odczyt statystyk ruchu na poziomie portów Ethernet (grupa zmiennych statistics). Zdalna konfiguracja nowej statystyki RMON. Uruchomienie statystyki RMON. Pobranie i prezentacja wyników. cigawka przykład scenariusza Przygotowanie Zalogowa si na stanowiskach labatm3 lub labatm4, na dwóch lub trzech konsolach. Róne konsole w systemie linux dla PC, dostpne s pod klawiszami Alt-F1, Alt-F2,... W katalogu /home/materialy znajduj si dokumenty tekstowe RFC oraz opisy MIB. Na pierwszej z konsol naley otworzy dokument intel-6000-switch.mib, np. w edytorze vi. Na drugiej z konsol warto mie pod rk dokument RFC [ vi /home/materialy/intel-6000-switch.mib ] [ vi /home/materialy/rfc1213.txt ] wiczenie naley rozpocz od przegldnicia dokumentów pod ktem ciekawych parametrów, które nastpnie bdzie mona próbowa pobiera i obserwowa. [ patrz switchconfiggroup, fangroup, psgroup, tempgroup, vlangroup, linkstategroup, routinggroup, carriergroup, dnsgroup ] Sprawdzi, czy switch odpowiada na zapytania SNMP. [ snmpget labatm5 public sysdescr.0 ] Przypomnie sobie do czego słu opcje m all, Os, -Ov, OT w poleceniach snmpget, snmpwalk, itp. To si póniej przyda. [ zawsze to mona sprawdzi piszc po prostu snmpget zostanie wywietlony help ] Odczyt informacji ogólnych i rodowiskowych z urzdzenia Strona 11 z 18

12 Z definicji MIB (RFC1213 i intel-6000-switch), naley wybra parametry, które opisuj konfiguracj ogóln i rodowiskow (zasilanie, temperatura, chłodzenie) urzdzenia. Odczyta dostpne parametry (np. grupa system, parametry specyficzne Intela). Sprawdzi ich sensowno. [ system (RFC 1213 MIBv2), carriergroup ] [ fangroup, tempgroup, psgroup ] [ polecenie np. snmpwalk m all OS labatm5 public fangroup more ] Odczyt informacji o portach urzdzenia Okreli liczb modułów i portów w switch u (pobra odpowiednie zmienne z agenta SNMP) i skonfrontowa z rzeczywistoci panelem czołowym urzdzenia. [ iftable (RFC 1213 MIBv2), linkstategroup ] Okreli parametry portów fizycznych: typy portów, nazwy portów, stan operacyjny portu, stan administracyjny. [ polecenie np. snmpwalk m all labatm5 public ifdescr more ] [ to samo dla iftype, ifoperstatus ] Zweryfikowa numeracj portów w agencie SNMP, z opisem portów na panelu czołowym urzdzenia. Skonfrontowa numeracj portów podawan jako interfejsy (tradycyjny RFC1213 MIBv2: iftable) oraz łcza (MIB producenta intel switch: linkstategroup). Okreli jak indeksowany (chodzi o suffix do nazwy) jest kady kolejny obiekt, czyli zmienna w tablicy łcz linkstatetable. Skonfrontowa definicj klauzuli INDEX w MIB dla linkstateentry i iftableentry. [ definicja linkstateentry i LinkStateEntry ] Pytania do zastanowienia: Jakie jest jakie przesunicie numeracji portów? [ o ile portów ] Czy s dziury w numeracji? [ np. midzy portami na modułach a portami kontrolnymi ] Dlaczego wystpuje przesunicie i/lub przerwy w numeracji portów? Okreli stan portów switcha (up / down). Przełczy podłczony patchcord RJ45 do innego portu Ethernet10/100, zaobserwowa zmiany stanu portów podawane przez agenta SNMP (naley pamita o odpowiednim przesuniciu numeracji portów). [ np. snmpwalk m all OS labatm5 public ifoperstatus more ] Zbada, czy jest jaki ruch na portach switch a. [ np. snmpwalk m all OS labatm5 public ifoutoctets more ] [ np. snmpwalk m all OS labatm5 public ifinoctets more ] Konfiguracja vlan urzdzenia labatm5 i konfiguracja IP komputera labatm3 Zbada konfiguracj VLAN switcha. Przegldn zawarto obiektów w grupie vlangroup. Pytania do przemylenia: Ile jest VLAN ów? Jakie s ich nazwy? Jakie s ich adresy IP? Które porty przynale, do których VLAN? [ patrz specyfikacja intel-6000-switch.mib oraz vlangroup ] Zweryfikowa osigalno (ping) poszczególnych VLAN z komputera labatm3 (wskazówka: adres gateway danego VLAN w switchu, to z reguły IP o wartoci xxx.xxx.xxx.1). Sprawdzi adresacj na komputerze labatm3, karty sieciowe, i ich podłczenie kablami do switcha. Sprawdzi tabel routingu na labatm3. Zweryfikowa przy pomocy ping i traceroute tras, któr przebywaj pakiety do poszczególnych VLAN switcha. Rozrysowa na kartce połczenia fizyczne midzy komputerami labatm3, labatm5. [ ifconfig, route, ping, traceroute ] Wykonywanie zdalnej usługi ping ustawianie wartoci zmiennych Zbada znaczenie wszystkich zmiennych z grupy pinggroup. Ustawi wartoci zmiennych odpowiadajcych za adres docelowy (pingowany). Zleci agentowi SNMP wysłanie ping a. [ snmpwalk (...) pinggroup (...), pingrequest ] Zweryfikowa wyniki pingowania. Na zakoczenie: Wylogowa si ze switcha Intel (labatm5) Wylogowa si z komputerów labatm1, labatm2, labatm3, labatm4 (sprawdzi wszystkie konsole! Alt-F1, Alt-F2,...) Strona 12 z 18

13 wiczenia sprztowe LAB #3 Zarzdzanie sieciami VLAN na przykładzie switch-a Intel NetStructure Ogólne załoenia i cele realizacji wiczenia: Umiejtno tworzenia VLAN i sposób jego wykorzystania. Podstawowe informacje o rutingu IP i jego zalenoci z dostarczaniem informacji do uytkowników ze zdefiniowanym adresem w warstwie 2. Ogólne uwagi odnonie zarzdzania przełcznikiem Intel 6000 Urzdzenie to dostarcza administratorom szereg rónych sposobów zarzdzania: Port szeregowy na styku RS-232C (konsola) - ZALECANE. Połczenie punkt-punkt na bazie protokołu PPP lub SLIP przez dedykowany port na panelu zarzdczym. Połczenie programem telnet przez dedykowany port na panelu zarzdczym (np. ze stacji roboczych labatm3 lub labatm4). Połczenie programem telnet przez port jednego z VLANow ze skonfigurowanym adresem IP (np. ze stacji roboczych labatm3 lub labatm4) ZALECANE. Protokół HTTP (np. przez przegldark internetow, jako adres naley wówczas przyj adres VLANu). Protokół SNMP. 1. Tworzenie i zarzdzanie sieciami VLAN Przełcznik Intel 6000 wyposaony jest w funkcje tworzenia VLANów, czyli wirtualnych sieci LAN. Sie VLAN to szereg logicznie powizanych ze sob portów przełcznika. Porty te moemy od chwili utworzenia VLANu traktowa jako porty oddzielnego przełcznika koncentrujcego ruch z pojedynczej sieci LAN. Zalet zastosowania pojedynczego przełcznika z moliwoci tworzenia sieci VLAN zamiast szeregu oddzielnych przełczników pozbawionych tej funkcji jest dua elastyczno przy konfiguracji sieci. Moemy przepina stacje fizycznie podłczone do danego portu do rónych sieci VLAN (czyli do rónych sieci LAN de facto), przez dodawanie/usuwanie tego portu z poszczególnych VLANów, co realizuje si przez wydawanie odpowiednich komend przełcznikowi. Ponisze wiczenie ma na celu pokazanie, e samo podłczenie stacji do danego portu nie spowoduje, e stacja ta bdzie widzie stacje podłczon do portu obok (lub do portu dowolnego), dopiero gdy oba porty znajd si w tej samej sieci VLAN ramki warstwy 2 bd transmitowane pomidzy nimi tj. przekazywane przez przełcznik (wówczas przełcznik pracuje w warstwie 2 tj. analizuje nagłówek i trailer warstwy łcza danych, nie wprowadzajc do nich adnych zmian). Intel Plab (eth1) (eth0) (eth0) labatm 3 labatm 4 Rys. 1. Pocztkowa konfiguracja testowej sieci do badania sieci VLAN. 1 wiczenie opracowane pod kierunkiem dr Krzysztofa Wajdy przez grup studentów: Tomasz Fryc, Strona 13 z 18

14 1. Zweryfikowa ustawienia interfejsów komputerów labatm3 i labatm4 zgodnie z rysunkiem 1. Aby skonfigurowa interfejs np. eth0 w systemie linux (labatm3 i labatm4) naley posłuy si komend ifconfig w nastpujcy sposób: user@labatm:~>ifconfig eth0 adres_ip netmask maska_sieci broadcast adres_bcast up 2. Utworzy VLAN 1 (jeli nie istnieje w systemie) o adresie (maska 25-bitowa), zawierajcy jeden port (np. nr 9), który nastpnie łczymy z przełcznikiem Plab sieci laboratoryjnej, tak jak na rysunku 1. Utworzenie VLANu nastpuje po wydaniu nastpujcych komend: 6000 Switch>#>vlan VID ifconfig adres_ip netmask maska_sieci 6000 Switch>#>vlan VID add port nr_portu Komendy te mog zosta wykonane, jeli wczeniej wprowadzimy przełcznik w tryb uprzywilejowany komend set priv. Tryb ten wymaga podania hasła nadzorcy systemu, które zostanie wprowadzone przez Prowadzcego zajcia. Podany powyej sposób tworzenia VLANu jest form uproszczon tzn. łczy w sobie utworzenie VLANu oraz procedur przypisania mu adresu IP (czyli konfiguracji jego interfejsu swvid). W celu dokładniejszego zbadania moliwoci I składni komendy vlan naley zapozna si z dokumentacj lub wyda komend vlan pracujc na przełczniku. VID to identyfikator VLANu, jest to liczba naturalna z zakresu od 1 do 4094, unikalna w skali przełcznika. Aby otrzymac liste aktualnie utworzonych VLANów, wraz z ich identyfikatorami oraz przypisanymi portami naley wyda polecenie vlan print. 3. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3. 4. Przepi komputer labatm4 z przełcznika Plab do przełcznika Intel 6000 (np. port 10) zgodnie z rysunkiem 2. Intel Plab (eth1) (eth0) (eth0) labatm 3 labatm 4 Rys. 2. Podłczenie stacji labatm4 do sieci VLAN. 5. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 (powinna by niedostpna). 6. Do VLANu 1 doda port, do którego została podłczona stacja labatm4. W tym przypadku naley si posłuy równie komend vlan: 6000 Switch>#>vlan VID add port nr_portu 7. Programem ping na stacji labatm4 sprawdzi obecno w sieci stacji labatm3. (powinna by dostpna). 8. Usun port, do którego była przyłczona stacja labatm4 z VLANu 1. W tym celu naley wyda komend: Strona 14 z 18

15 6000 Switch>#>vlan VID del port nr_portu v , Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 (powinna by niedostpna). 10. Odłczy stacje labatm4 od przełcznika Intel 6000 i podłczy j do przełcznika Plab, czyli powróci do konfiguracji zgodnej z rysunkiem Routing pomidzy VLANami Zagadnienie routingu pomidzy sieciami VLAN staje si istotne w przypadku gdy skonfigurowane s przynajmniej dwie sieci VLAN, a w kadej z nich jest przynajmniej jedna stacja. Aby pomidzy stacjami znajdujcymi si w rónych sieciach VLAN transmisja była moliwa przełcznik musi udostpnia usług przekazywania pakietów na poziomie 3, czyli usług routingu pomidzy sieciami VLAN (przy tworzeniu nowych sieci usługa ta jest domylnie włczona). Pakiety wysyłane przez jedn ze stacji kierowane s do przełcznka (jeli bram domyln tej stacji jest adres sieci VLAN, w której si znajduje). Jeli adresem docelowym tych pakietów jest adres stacji nalecej, do której z pozostałych sieci VLAN, pakiety te przekazywane s do VLANu, w której znajduje si docelowa stacja (gdy adres docelowy nie naley do adnej z sieci VLAN, pakiety s odrzucane). W tym przypadku nagłówek i trailer ramki warstwy łcza danych jest przez przełcznik ignorowany, analizowany jest tylko nagłówek IP. Datagram (nagłówek IP + zawarto informacyjna warstw wyszych), przekazywany do docelowego VLAN, jest enkapsulowany w now ramk zawierajcy adres MAC portu przełcznika, a nie stacji nadawczej (czyli tak jak w przypadku kilku stacji w jednym VLANie). W tym punkcie wiczenia tak konfigurujemy sie testow, aby jedyna moliwa trasa komunikacji pomidzy stacjami labatm3 i labatm4 przebiegała przez przełcznik Intel Gdy narzdzie diagnostyczne wykae (np. program ping) transmisj, mamy pewno, e przebiega ona za porednictwem przełcznika. Kolejnym krokiem bdzie wyłczenie usługi routingu, co zostanie zasygnalizowane przez narzdzie diagnostyczne przerwaniem transmisji. Intel Plab (eth1) (eth0) (eth0) labatm 3 labatm 4 Rys. 3. Pocztkowa konfiguracja testowej sieci do badania routingu pomidzy sieciami VLAN. 1. Zweryfikowa ustawienia interfejsów komputerów labatm3 i labatm4 zgodnie z rysunkiem Utworzy VLAN 1 zgodnie z punktem 2 poprzedniej czci wiczenia (jeli VLAN ten pozostał, naley od razu przej do nastpnego punktu). 3. Utworzy VLAN 2 zawierajcy jeden port (np. 10) o adresie IP (maska 24-bitowa). 4. Połczy stacj labatm3 z nowo otworzonym VLANem (za pomoc dostpnych w laboratorium kabli połczy kart sieciow, na której został skonfigurowany interfejs eth1 z portem przełcznika Intel 6000 nalecym do VLANu 2) tak jak pokazano na rysunku Odłczy stacje labatm3 od przełcznika Plab, uzyskujc w ten sposób konfiguracj przedstawiona na rysunku 4. Strona 15 z 18

16 Intel Plab (eth1) (eth0) (eth0) labatm 3 labatm 4 Rys. 4. Odłczenie stacji labatm3 od sieci /25 (od przełcznika Plab). 6. Aby zapewni prawidłowe krenie pakietów w sieci testowej naley zmodyfikowa tablice routingu w systemie stacji labatm3 i labatm4 w według nastpujcych reguł: labatm3: sie docelowa: /25 brama: interfejs: eth1 labatm4: sie docelowa: /24 brama: interfejs: eth0 Aby doda wpis do tablicy routingu naley posłuy si komend route w sposób nastpujcy: user@labatm:~>route add net adres_sieci_docelowej netmask maska_sieci_docelowej gw adres_bramy dev nazwa_interfejsu Aby usun wpis w powyszym przepisie naley zamieni słowo kluczowe add na delete. 7. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 ( ) oraz na stacji labatm3 sprawdzi dostpno w sieci stacji labatm4 ( ). W obu przypadkach program ping powinien zaprezentowa komunikaty zwrotne od stacji docelowych. 8. Istnieje moliwo odseparowania VLANów w warstwie III, tak aby pakiety pomidzy sieciami VLAN NIE były routowane (separacje w warstwie II zapewnia VLAN). Aby wyłczy routing dla danego VLANu (domylnie jest włczony) naley wyda (w trybie uprzywilejowanym) nastpujc komend: 6000 Switch>#>vlan VID disable iproute Oznacza to, e pakiety pochodzce z VLANu o identyfikatorze VID nie bd poddawane procesowi routingu. W przypadku testowej sieci laboratoryjnej wyłczenie routingu tylko na jednym VLANie nie spowoduje całkowitej separacji sieci VLAN, lecz wyeliminuje tylko jeden kierunek transmisji. Naley zatem wyda powysze polecenie dla obu testowych VLANów. UWAGA: Wyłczenie routingu na jednym VLANie (dowolnym) spowoduje, e program ping bdzie sygnalizował brak aktywnoci stacji docelowej. Nie zawsze to jednak oznacza całkowity brak transmisji. W przypadku gdy uruchamiamy program ping na stacji w VLANie z odblokowanym routingiem, a stacj docelow dla tego programu bdzie komputer w VLANie z zablokowanym VLANem pakiet ICMP Echo Request dotrze do stacji docelowej, jednake odpowied Echo Reply zostanie prze przełcznik odrzucona i nie dotrze z powrotem do nadawcy. Dlatego w tym przypadku program ping jako narzdzie diagnostyczne nie jest rozwizaniem optymalnym. 9. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 ( ) oraz na stacji labatm3 sprawdzi dostpno w sieci stacji labatm4 ( ). W obu przypadkach program ping powinien wykaza brak aktywnoci stacji docelowej. Strona 16 z 18

17 DODATKOWE WICZENIA 3. Listy dostpu (ACL Access Control List ) Odpowiednie zarzdzanie routingiem pomidzy sieciami VLAN i stacjami nalecymi do VLANów jest zagadnieniem kluczowym z punktu widzenia bezpieczestwa sieci. W poprzedniej czci wiczenia pokazane zostało jak włczy/wyłczy trasowanie pakietów z danego VLANu. Jest to rozwizanie dobre tylko dla bardzo niewielkich sieci, w przypadku sieci wikszych narzdzie to staje si nieelastyczne. Najlepszym rozwizaniem wówczas jest mechanizm list dostpu, pozwalajcy na regulacj przekazywania pakietów z dokładnoci do pojedynczego hosta w danym VLANie. W tym punkcie wiczenia konfiguracj pocztkow sieci jest stan z punktu 6 poprzedniej czci wiczenia. Celem tej czci jest równie zablokowanie przepływu pakietów pomidzy testowymi sieciami VLAN. 1. Odblokowa mechanizm list dostpu (domylnie s zablokowane) oraz ustawi domyln polityk przekazywania na pozytywn poprzez wprowadzenia nastpujcej sekwencji komend (w trybie uprzywilejowanym): 6000 Switch>#>enable acl 6000 Switch>#>acl add 1 permit all all 2. Wprowadzi reguły blokujce, uniemoliwiajc transmisj danych pomidzy stacjami labatm3 i labatm4 (i TYLKO pomidzy tymi stacjami, w obu kierunkach). Aby doda reguł blokujca naley posłuy si nastpujc komend: 6000 Switch>#>acl add nr_reguly deny adres_zrodlowy maska_zakres_zrod adres_docelowy maska_zakres_docel Numer reguły (nr_reguly) jest liczb naturaln z zakresu od 1 do 128. Wprowadzajc kolejne reguły naley pamita, e s one sprawdzane przez przełcznik zgodnie z ich numeracj. Adres ródłowy (adres_zrodlowy) i maska zakresu adresów ródłowych (maska_zakres_zrod) okrelaj pul adresów stacji, od których pakiety kierowane do stacji o adresach okrelanych przez adres docelowy (adres_docelowy) i mask zakresu adresów docelowych (_maska_zakres_docel) nie bd przez przełcznik przekazywane. Adres (ródłowy lub docelowy) dla danej puli jest adresem pocztkowym, natomiast maska zakresu okrela liczb kolejnych adresów (uporzdkowanych rosnco) poczwszy od pocztkowego. Tabela 1 przedstawia przykłady stosowania maski zakresu. Tabela 1. Przykłady zastosowania maski zakresu. Adres Maska zakresu Zakres Nieprawidłowy zakres W przypadku gdy pula ma zawiera tylko jeden adres zamiast odpowiedniej maski zakresu ( ) mona uy słowa kluczowego host. Aby wywietli aktualna list dostpu naley posłuy si nastpujca komend: 6000 Switch>#>acl print rules 3. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 ( ) oraz na stacji labatm3 sprawdzi dostpno w sieci stacji labatm4 ( ). W obu przypadkach program ping powinien wykaza brak aktywnoci stacji docelowej. 4. Usun reguły blokujce, w tym celu naley wyda komend: 6000 Switch>#>acl del nr_reguly Aby usun wszystkie reguły zamiast numeru reguły mona poda słowo kluczowe all. Strona 17 z 18

18 5. Wprowadzi reguł powodujc zablokowanie przekazywanie pakietów pomidzy wszystkimi sieciami VLAN (odpowiada to wyłczeniu routingu na kadej sieci VLAN), komenda wprowadzajca t reguł jest nastpujca: 6000 Switch>#>acl 1 deny all all UWAGA: W intelu 6000 po skasowaniu wszystkich reguł (all) domyln akcj jest blokowanie, zatem powysza komenda byłaby zbdna. 6. Wprowad reguł pozwalajc na przepływ pakietów pomidzy testowymi VLANami tzn. pomidzy sieciami /25 i /24, w tym celu wprowad nastpujc komend: 6000 Switch>#>acl add nr_reguly permit adres_zrodlowy maska_zakres_zrod adres_docelowy maska_zakres_docel UWAGA: Reguła ma dotyczy pełnego zakresu adresowego dla ww. sieci, nie tylko dla stacji labatm3 i labatm4. 7. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 ( ) oraz na stacji labatm3 sprawdzi dostpno w sieci stacji labatm4 ( ). W obu przypadkach program ping powinien zaprezentowa komunikaty zwrotne od stacji docelowych. 8. Wprowadzi reguły blokujce (o numerach kolejnych), uniemoliwiajc transmisj danych pomidzy stacjami labatm3 i labatm4 (i TYLKO pomidzy tymi stacjami, w obu kierunkach) patrz punkt Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 ( ) oraz na stacji labatm3 sprawdzi dostpno w sieci stacji labatm4 ( ). W obu przypadkach program ping powinien zaprezentowa komunikaty zwrotne od stacji docelowych. (A powinno by zupełnie odwrotnie.... Dzieje si tak z powodu nieprawidłowej kolejnoci reguł) 10. Naley tak zmieni kolejno przetwarzania reguł przez przełcznik, aby transmisja pomidzy testowymi sieciami VLAN była moliwa (nie mona wprowadza nowych reguł). Aby zmieni kolejno wprowadzonych reguł naley wyda nastpujc komend: 6000 Switch>#>acl move poz_reguly_1 to poz_reguly_2 Zgodnie z wczeniej przyjt nomenklatur pozycja reguły jest równie jej numerem. 11. Programem ping na stacji labatm4 sprawdzi dostpno w sieci stacji labatm3 ( ) oraz na stacji labatm3 sprawdzi dostpno w sieci stacji labatm4 ( ). W obu przypadkach program ping powinien wykaza brak aktywnoci stacji docelowej. ZADANIE DODATKOWE Przełcznik Intel 6000 udostpnia usług resolvera tzn. moe kierowa zapytania do serwera DNS. Ponadto zaimplementowano w nim program ping, którego działanie jest analogiczne do programu ping w systemie linux. Wiedzc, e dla domeny kt.agh.edu.pl serwerem DNS jest stacja o adresie naley tak skonfigurowa przełcznik, aby polecenie: 6000 Switch>#>ping labatm3 ukazywało aktywno stacji labatm3. Strona 18 z 18