Laboratorium 6.7.2: Śledzenie pakietów ICMP

Transkrypt

1 Topologia sieci Tabela adresacji Urządzenie Interfejs Adres IP Maska podsieci Domyślna brama R1-ISP R2-Central Serwer Eagle S0/0/ Nie dotyczy Fa0/ Nie dotyczy S0/0/ Nie dotyczy Fa0/ Nie dotyczy Nie dotyczy Nie dotyczy Nie dotyczy hostpod#a Nie dotyczy Pod# hostpod#b Nie dotyczy Pod# S1-Central Nie dotyczy publicznie dostępne informacje firmy Cisco. Strona 1 z 9

2 Cele nauczania Po zakończeniu tego ćwiczenia będziesz potrafił: Zrozumieć formaty pakietów ICMP. Użyć programu Wireshark do przechwycenia komunikatów ICMP. Wprowadzenie Protokół ICMP (Internet Control Message Protocol) został po raz pierwszy zdefiniowany w dokumencie RFC 792, we wrześniu Typy komunikatów ICMP opisano później w dokumencie RFC Protokół ICMP działa w warstwie sieci modelu TCP/IP i jest używany do wymiany informacji pomiędzy urządzeniami. Komunikaty ICMP są bardzo użyteczne w dzisiejszych sieciach komputerowych. Kiedy router nie może dostarczyć pakietów do sieci lub hosta docelowego, informacje o tym fakcie są zwracane do nadawcy. Zarówno komenda ping jak i tracert wysyła komunikaty ICMP do urządzenia przeznaczenia. Również odbiorcy odpowiadają komunikatami ICMP. Scenariusz Korzystając z pierwszego laboratorium oraz programu Wireshark będziemy przechwytywać pakiety ICMP przesyłane pomiędzy urządzeniami sieciowymi. Zadanie1: Zapoznanie się z formatami pakietów ICMP Rysunek 1. Nagłówek komunikatu ICMP Przedstawione na rysunku 1 pola nagłówka ICMP są wspólne dla każdego typu wiadomości ICMP. Każdy komunikat ICMP rozpoczyna się 8-bitowym polem typu, 8-bitowym polem kodu oraz 16-sto bitową sumą kontrolną. Pozostałe pola zależą od typu komunikatu ICMP. W tabeli na rysunku 2 przedstawiono typy wiadomości ICMP opisane w dokumencie RFC 792: Znaczenie 0 Echo Reply (odpowiedź na żądanie echo) 3 Destination Unreachable (Miejsce docelowe nieosiągalne) 4 Source Quench (Tłumienie źródła) 5 Redirect (Przekierowanie) 8 Echo 11 Time Exceeded (Przekroczenie czasu) 12 Parameter Problem (Problem z parametrem) 13 Timestamp (Znacznik publicznie dostępne informacje firmy Cisco. Strona 2 z 9

3 Znaczenie czasowy) 14 Timestamp Reply (Odpowiedź na żądanie znacznika czasowego) 15 Information Request (Żądanie informacji) 16 Information Reply (Odpowiedź na żądanie przesłania informacji) Rysunek 2. Typy komunikatów ICMP Kody dostarczają dodatkowych informacji dla komunikatów danego typu. Dla przykładu, jeśli pole typ wynosi 3 - cel jest nieosiągalny - dodatkowe informacje związane z tym problemem są zawarte w postaci odpowiedniej wartości pola kod. W tabeli na rysunku 3 pokazano kody wiadomości dla komunikatu o typie 3 - cel nieosiągalny (na podstawie RFC 1700): Kod Znaczenie 0 Sieć nieosiągalna 1 Host nieosiągalny 2 Protokół nieosiągalny 3 Port niedostępny 4 Wymagana fragmentacja i ustawiony bit DF 5 Trasa źródłowa niedostępna 6 Nieznana sieć docelowa 7 Nieznany host docelowy 8 Źródłowy host izolowany 9 Komunikacja z siecią docelową jest administracyjnie zablokowana 10 Komunikacja z komputerem docelowym jest administracyjnie zablokowana 11 Siec docelowa niedostępna dla tego typu usługi 12 Host docelowy niedostępny dla tego typu usługi Rysunek 3. Kody wiadomości ICMP o typie 3 Korzystając z pokazanej na rysunku 4 przechwyconej wiadomości ICMP, wypełnij pola pakietu żądania ICMP echo. Wartości zaczynające się od 0x są liczbami w kodzie szesnastkowym: Rysunek 4. Pakiet ICMP Request publicznie dostępne informacje firmy Cisco. Strona 3 z 9

4 Korzystając z przechwyconej wiadomości ICMP pokazanej na rysunku 5, wypełnij pola pakietu ICMP Echo Reply: Rysunek 5. Pakiet ICMP Reply Warstwa Sieci modelu TCP/IP nie daje gwarancji dostarczenia pakietu do celu. Jednak ICMP zapewnia minimalną kontrolę poprzez generowanie odpowiedź odpowiadającej danemu żądaniu. Na podstawie informacji zawartej w wiadomości ICMP przedstawionej powyżej, odpowiedź skąd nadawca wie, że odpowiedź jest na dane zapytanie? Zadanie 2: Użycie programu Wireshark do przechwycenia komunikatów ICMP. Rysunek 6 Strona, z której można pobrać program Wireshark. publicznie dostępne informacje firmy Cisco. Strona 4 z 9

5 Jeżeli wcześniej nie pobrano programu Wireshark na lokalny komputer zestawu, możesz go pobrać z serwera Eagle. 1. Otwórz przeglądarkę internetową i wpisz adres URL FTP://eagleserver.example.com/pub/eagle_labs/eagle1/chapter6, jak pokazano na rysunku Kliknij prawym przyciskiem myszy na plik Wireshark, wybierz Zapisz element docelowy jako i zapisz plik na komputerze pod Po ściągnięciu pliku, uruchom instalację Wireshark. Krok 1: Przechwycenie i analiza wiadomości ICMP echo kierowanych do serwera Eagle. W tym kroku program Wireshark będzie użyty do analizowania wiadomości ICMP echo. 1. Otwórz okno linii poleceń Windows na komputerze zestawu. 2. Jeśli jesteś gotów, włącz przechwytywanie pakietów. C:\> ping eagle-server.example.com Badanie eagle-server.example.com [ ] z użyciem 32 bajtów danych: Odpowiedź z : bajtów=32 czas<1ms TTL=63 Odpowiedź z : bajtów=32 czas<1ms TTL=63 Odpowiedź z : bajtów=32 czas<1ms TTL=63 Odpowiedź z : bajtów=32 czas<1ms TTL=63 Statystyka badania ping dla : Pakiety: Wysłane = 4, Odebrane = 4, Utracone = 0 (0% straty) Szacunkowy czas przesyłania pakietów w obie strony w milisekundach: Minimum = 0ms, Maksimum = 0ms, Czas średni = 0ms C:\> Rysunek 7. Pozytywne odpowiedzi ping z serwera Eagle. 3. Z linii poleceń Windows wyślij ping do serwera Eagle. Powinny zostać odebrane cztery pozytywnie odpowiedzi jak pokazano na rysunku Zatrzymaj przechwytywanie w programie Wireshark. Powinny być cztery żądania ICMP echo i cztery odpowiadające im odpowiedzi (podobnie jak na rysunku 8). publicznie dostępne informacje firmy Cisco. Strona 5 z 9

6 Rysunek 8. Żądania i odpowiedzi ping przechwycone w programie Wireshark. Które z urządzeń sieciowych odpowiada na żądania ICMP echo? 5. Rozwiń środkową cześć okna programu Wireshark i rozwiń pole dotyczące protokołu ICMP. Dolne okno będzie potrzebne do zbadania pola danych. 6. Zanotuj informacje z pierwszego pakietu żądania ICMP echo kierowanego do serwera Eagle: Pole Typ Kod Suma kontrolna Identyfikator Numer sekwencyjny Dane Czy dane zawierają 32 bajty? 7. Zanotuj informacje z pierwszego pakietu odpowiedzi ICMP echo, odebranego od serwera Eagle: Pole Typ Kod Suma kontrolna Identyfikator Numer sekwencyjny Dane Które pola uległy zmianie w porównaniu z żądaniem ICMP echo? publicznie dostępne informacje firmy Cisco. Strona 6 z 9

7 8. Przeanalizuj zawartość pozostałych pakietów z żądaniami i odpowiedziami ICMP echo. Uzupełnij następujące informacje dla każdego z tych komunikatów ping: Pakiet Żądanie # 2 Odpowiedź # 2 Żądanie # 3 Odpowiedź # 3 Żądanie # 4 Odpowiedź # 4 Suma kontrolna Identyfikator Numer sekwencyjny Dlaczego wartość sumy kontrolnej zmienia się przy każdym kolejnym żądaniu? Krok 2: Przechwycenie i analiza wiadomości ICMP echo do W tym kroku, zapytania ping będą wysyłane do fikcyjnego miejsca w sieci. Będziemy analizować rezultaty przechwytywania pakietów przez program Wireshark i mogą być one zadziwiające. Spróbuj wysłać ping na adres C:\> ping C:\> ping Badanie z użyciem 32 bajtów danych: Odpowiedź z : Docelowy host nieosiągalny. Odpowiedź z : Docelowy host nieosiągalny. Odpowiedź z : Docelowy host nieosiągalny. Odpowiedź z : Docelowy host nieosiągalny. Statystyka badania ping dla : Pakiety: Wysłane = 4, Odebrane = 4, Utracone = 0 (0% straty), Szacunkowy czas błądzenia pakietów w milisekundach: Minimum = 0ms, Maksimum = 0ms, Czas średni = 0ms C:\> Rysunek 9. Rezultat badania ping do fikcyjnego miejsca docelowego Popatrz na rysunek 9. Zamiast upłynięcia limitu czasu żądania pojawiają się odpowiedzi. Jakie urządzenie sieciowe odpowiada na ping do fikcyjnego miejsca docelowego? Rysunek 10. Przechwycone przez Wireshark pakiety wysyłane do fikcyjnego celu publicznie dostępne informacje firmy Cisco. Strona 7 z 9

8 Przechwycone przez program Wireshark pakiety wysyłane do fikcyjnego miejsca docelowego pokazuje rysunek 10. W środkowym oknie programu Wireshark rozwiń rekord dotyczący protokołu ICMP. Jaki typ wiadomości ICMP jest przesyłany w informacji zwrotnej do nadawcy? Jaki kod jest związany z tym typem komunikatu? Krok 3: Przechwycenie i analiza wiadomość ICMP echo z przekroczeniem wartości TTL. W tym kroku będą wysyłane pakiety ping z niską wartością TTL, żeby zasymulować nieosiągalność miejsca docelowego. Wyślij ping do serwera Eagle i ustaw wartość TTL równą1: C:\> ping -i C:\> ping -i Badanie z użyciem 32 bajtów danych: Odpowiedź z : Limit czasu wygaśnięcia TTL upłynął podczas tranzytu. Odpowiedź z : Limit czasu wygaśnięcia TTL upłynął podczas tranzytu. Odpowiedź z : Limit czasu wygaśnięcia TTL upłynął podczas tranzytu. Odpowiedź z : Limit czasu wygaśnięcia TTL upłynął podczas tranzytu. Statystyka badania ping dla : Pakiety: Wysłane = 4, Odebrane = 4, Utracone = 0 (0% straty), Szacunkowy czas błądzenia pakietów w milisekundach: Minimum = 0ms, Maksimum = 0ms, Czas średni = 0ms C:\> Rysunek 11. Rezultat badania bing w przypadku przekroczenia TTL Rysunek 11 pokazuje odpowiedzi w przypadku przekroczenia wartości TTL. Które urządzenie sieciowe odpowiada na pingi, które przekroczyły wartość TTL? Rysunek 12. Przechwycone przez Wireshark pakiety, które przekroczyły wartość TTL Przechwycone za pomocą Wireshark pakiety kierowane do fikcyjnego miejsca docelowego pokazuje rysunek 12. W środkowym oknie programu Wireshark rozwiń rekord dotyczący protokołu ICMP. Jaki typ wiadomości ICMP jest przesyłany w informacji zwrotnej do nadawcy? Jaki kod jest związany z tym typem komunikatu? Jakie urządzenie sieciowe jest odpowiedzialne za zmniejszanie wartości TTL? publicznie dostępne informacje firmy Cisco. Strona 8 z 9

9 Zadanie 3: Wyzwanie Korzystając z programu Wireshark przechwyć sesję tracert do serwera Eagle oraz do Zbadaj wiadomość ICMP przekroczona wartość TTL. To pokaże w jaki sposób komenda tracert śledzi ścieżkę do miejsca docelowego. Zadanie 4: Do przemyślenia Protokół ICMP jest bardzo użyteczny przy usuwaniu problemów z łącznością w sieci. Bez komunikatów ICMP, nadawca nie ma żadnego środka umożliwiającego ustalenie przyczyn braku łączności. Podczas badania ping, różne typy komunikatów ICMP były przechwycone i poddane analizie. Zadanie 5: Porządkowanie i zakończenie Być może program Wireshark był specjalnie instalowany na potrzeby tego ćwiczenia. Jeśli program powinien być odinstalowany, wybierz Start > Panel Sterowania > Dodaj lub usuń programy i przewiń do Wireshark. Wybierz odpowiednią nazwę pliku, następnie Usuń, a potem postępuj zgodnie z instrukcjami. Usuń pliki pcap (pliki programu Wireshark) utworzone na komputerze. Jeśli instruktor nie polecił inaczej, wyłącz komputery. Zabierz wszystkie rzeczy przyniesione do laboratorium. Pozostaw pomieszczenie w stanie gotowym do rozpoczęcia zajęć z następną grupą studentów. publicznie dostępne informacje firmy Cisco. Strona 9 z 9