Dokumentacja administratora ABA SecureBridge Sławomir Jasek slawekj@aba.krakow.pl Kraków, 15 marca 2004
Spis treści 1 Specyfikacja urządzenia 2 1.1 Zastosowanie urządzenia............................ 2 1.2 Interfejsy zewnętrzne.............................. 2 2 Uruchamianie 4 3 Konfiguracja 5 3.1 Wstęp...................................... 5 3.2 Hasło dostępu.................................. 6 3.3 Adres IP..................................... 6 3.4 Klient/serwer.................................. 7 3.5 Parametry tunelu................................ 7 3.5.1 Klient.................................. 8 3.5.2 Serwer.................................. 9 3.6 Ustawienia bridge a............................... 11 3.6.1 Pamięć bridge a............................. 11 3.6.2 Statystyki bridge a........................... 12 3.7 Zapis ustawień................................. 12 3.8 Zakończenie pracy............................... 13 4 Komunikaty błędów 14 A Notacja prefiksowa 15 1
Rozdział 1 Specyfikacja urządzenia ABA SecureBridge jest urządzeniem przeznaczonym do tworzenia bezpiecznych tuneli, łączących na poziomie 2 warstwy modelu OSI (łącza danych) sieci lokalne znajdujące się w różnych lokalizacjach. W tunelu enkapsulowane są całe ramki Ethernet, w pakietach UDP lub TCP. ABA SecureBridge umożliwia szyfrowanie transmisji przechodzącej przez tunel, za pomocą algorytmu Blowfish o długości klucza 128 bitów kompresję przesyłanych pakietów (9 poziomów kompresji) dowolne ograniczanie przepustowości tunelu 1.1. Zastosowanie urządzenia ABA SecureBridge może być zastosowany wszędzie tam, gdzie pojawia się konieczność rozdzielenia jednej sieci lokalnej na różne lokalizacje, a medium łączące te lokalizacje nie jest bezpieczne. Zaletą ABA SecureBridge jest przezroczystość - połączone za jego pomocą lokalizacje stanowią jedną, spójną sieć. Zastosowanie urządzenia, w przeciwieństwie do urządzeń działających na 3 warstwie OSI (np. rutery szyfrujące IPsec), nie wiąże się z żadnymi zmianami konfiguracji komputerów podłączonych do sieci w obu lokalizacjach. Z punktu widzenia użytkownika znajdującego się w jednej z lokalizacji ABA SecureBridge działa jak bridge. Umożliwia to m.in. zastosowanie tej samej klasy adresowej w obu lokalizacjach, a także pracę na innych protokołach (m.in. IPX, DHCP, BOOTP, AppleTalk, itp.). Urządzenie od strony przyłączonych do niego sieci lokalnych jest bezadresowe (tak jak bridge). 1.2. Interfejsy zewnętrzne Urządzenie posiada, w zależności od platformy sprzętowej: co najmniej 2 interfejsy Ethernet 10Base-T/100Base-TX 2
ROZDZIAŁ 1. SPECYFIKACJA URZĄDZENIA 1 intefejs szeregowy 9600 bps do podłączenia konsoli szeregowej możliwe jest wejście na klawiaturę oraz wyjście na monitor (do konfiguracji lokalnej) 3
Rozdział 2 Uruchamianie Procedura uruchomienia ABA SecureBridge : 1. podłączyć urządzenie do sieci 220V 2. podłączyć okablowanie sieciowe do odpowiednich interfejsów: do pierwszego interfejsu (oznaczonego LAN ) należy podłączyć sieć lokalną do drugiego interfejsu (oznaczonego UPLINK ) - łącze do sieci zewnętrznej, prowadzące do drugiego urządzenia 3. podłączyć konsolę szeregową lub emulator terminala do portu RS-232 na płycie urządzenia za pomocą kabla null modem; szybkość portu ustawić na 9600, parametry na 8N1, emulacja terminala VT100 4. lub podłączyć klawiaturę i monitor (jeśli platforma sprzętowa to umożliwia) 5. uruchomić urządzenie za pomocą przycisku zasilania Przy pierwszym uruchomieniu na konsoli szeregowej (lub na ekranie monitora) pojawi się od razu główne menu konfiguracyjne - bez pytania o hasło. Należy wówczas hasło ustawić i zapisać. Przy każdym kolejnym uruchomieniu pojawi się komunikat powitalny ABA Secure Bridge wraz z zapytaniem o hasło dostępu. Brak tego komunikatu świadczy o: błędnych ustawieniach konsoli szeregowej lub emulatora terminala, nieprawidłowym kablu szeregowym, uszkodzeniu urządzenia. 4
Rozdział 3 Konfiguracja 3.1. Wstęp ABA SecureBridge udostępnia interfejs administratora w postaci menu. Przy pracy w interfejsie należy pamiętać o następujących zasadach: wyboru określonej opcji należy dokonać za pomocą strzałek w górę lub w dół, a następnie zatwierdzić Enter-em w każdej chwili pracę z interfejsem można przerwać wciskając Ctrl-C - nastąpi wówczas automatyczne wylogowanie w większości przypadków aktualne wartości danej opcji są wyświetlone po prawej stronie, u dołu natomiast znajduje się krótki opis danej opcji aby powrócić z podmenu do menu głównego, należy wybrać opcję Powrot, znajdującą się na samym dole aby zmiany ustawień zostały wprowadzone należy je zapisać (w menu głównym), a następnie uruchomić ponownie urządzenie z nowymi ustawieniami po zakończeniu pracy należy się wylogować Poniżej przedstawiono wygląd menu głównego: 5
ROZDZIAŁ 3. KONFIGURACJA Na konfigurację ABA SecureBridge składają się: 1. hasło dostępu do konsoli administracyjnej 2. adres zewnętrznego interfejsu sieciowego, jego maska podsieci, ewentualnie brama 3. ustalenie trybu pracy urządzenia: serwer lub klient 4. ustalenie parametrów tunelu: hasło tunelu na serwerze konfigurujemy opcjonalną kompresję oraz ograniczenia przepustowości na kliencie konfigurujemy adres IP serwera, a także protokół użyty w tunelu (TCP lub UDP). 5. ustalenie parametrów bridge a (czas pamięci adresów MAC). 3.2. Hasło dostępu Hasło dostępu do konsoli można zmienić wybierając z menu głównego Haslo dostepu. Pojawi się wówczas zapytanie o nowe hasło: Wprowadz nowe haslo (min. 5 znakow) : System nie pozwala na wprowadzenie zbyt prostego hasła. Próba taka kończy się stosownym komunikatem, informującym o przyczynie odrzucenia hasła: Zle haslo: zbyt krotkie. UWAGA: za slabe haslo! Sprobuj ponownie! Aby zapisać hasło na stałe, należy zapisać całą konfigurację urządzenia - Zapis ustawien w w menu głównym. W przeciwnym wypadku nowe hasło będzie aktywne tylko do restartu urządzenia, a system powróci do poprzedniego hasła przy ponownym uruchomieniu. Przy pierwszym uruchomieniu ABA SecureBridge hasło nie jest ustawione - uruchamia się od razu menu konfiguracyjne. Należy wówczas ustawić hasło i go zapisać. 3.3. Adres IP Zewnętrzny adres IP służy do połączenia ze sobą urządzeń ABA SecureBridge. Po wybraniu Ustawienia sieciowe z menu głównego, ukaże się podmenu ustawień sieciowych. Jego wygląd przedstawiono poniżej: 6
ROZDZIAŁ 3. KONFIGURACJA W menu tym należy skonfigurować zewnętrzny numer IP urządzenia, wraz z maską podsieci, w formacie aaa.bbb.ccc.ddd/mm - gdzie aaa.bbb.ccc.ddd to numer IP, a mm - ilość bitów maski podsieci (patrz Dodatek A). Można wprowadzić również adres IP domyślnej bramy. Adres bramy jest konieczny w przypadku gdy połączenie do drugiego urządzenia jest zrealizowane poprzez zewnętrzną sieć (np. Internet). W przypadku łączenia dwóch lokalizacji np. bezpośrednim łączem radiowym, adres bramy nie jest potrzebny i można wówczas pozostawić to pole puste. Aby usunąć bramę, wystarczy w polu wpisywania jej adresu wcisnąć sam Enter. 3.4. Klient/serwer W celu zestawienia bezpiecznego tunelu pomiędzy dwoma urządzeniami ABA Secure- Bridge, należy jedno z urządzeń skonfigurować jako inicjujące połączenie (klient), drugie natomiast jako oczekujące na połączenia (serwer). Aby przełączyć tryb pracy urządzenia, należy w menu głównym nacisnąć Enter na linii Tryb XXX, gdzie XXX może być KLIENT, lub SERWER. Po wciśnięciu Enter tryb pracy zostanie zmieniony, co uwidoczni się zmianą tej linii w menu. Serwer umożliwia stworzenie większej ilości tuneli, do wielu klientów - może być urządzeniem znajdującym się w centrum topologii gwiazdy. Natomiast klient umożliwia stworzenie tylko jednego tunelu (do serwera). 3.5. Parametry tunelu Po wybraniu z menu głównego opcji Konfiguracja tunelu (lub, w trybie SERWER - Konfiguracja tuneli, pojawi się podmenu konfiguracji parametrów tunelu. Parametry te zależne są od trybu pracy urządzenia (klient czy serwer) - inne ustawia się na serwerze a inne na kliencie. Niezależnie od wyboru trybu konieczne jest ustawienie hasła tunelu. Hasło to musi być identyczne na obu urządzeniach - w przeciwnym wypadku tunel nie zostanie zestawiony. Na podstawie tego hasła podczas nawiązywania połączenia druga strona jest uwierzytelniana (metoda challenge-response, czyli hasło nie jest przesyłane w postaci 7
ROZDZIAŁ 3. KONFIGURACJA jawnej przez sieć). Hasło to jest wykorzystywane również do stworzenia 128-bitowego klucza sesji, szyfrującego dane przesyłane przez tunel. Hasło tunelu musi mieć conajmniej 8 znaków długości, i może składać się z liter i cyfr, a także znaków :.#!$&~ +=^. 3.5.1. Klient Dla klienta, oprócz hasła tunelu konfigurujemy IP serwera (drugiego urządzenia) oraz protokół przez który zostanie nawiązany tunel (TCP lub UDP). Menu konfiguracji klienta: Adres serwera Na urządzeniu kliencie konieczne jest wpisanie adresu IP drugiego urządzenia - serwera. Klient bowiem nawiązuje połączenie z serwerem, tworząc w ten sposób tunel. Po wybraniu IP serwera z menu klienta należy wprowadzić adres IP serwera, w postaci aaa.bbb.ccc.ddd. Protokół ABA SecureBridge umożliwia stworzenie tunelu poprzez enkapsulacją ramek Ethernet w pakietach TCP lub UDP. Tunel stworzony przez UDP jest wydajniejszy z kilku względów. Po pierwsze nagłówek pakietu UDP jest znacznie mniejszy niż TCP, UDP nie wprowadza więc tak dużej nadmiarowości niepotrzebnych danych. Ponadto w tunelu TCP w przypadku zgubienia pakietu może wystąpić problem podwójnej retransmisji TCP - na zewnątrz tunelu, oraz tego enkapsulowanego, co wywołuje generację niepotrzebnego ruchu. Wciśnięcie Enter na linii Protokol zmienia aktualną wartość protokołu (tcp lub udp). Stan tunelu Linia Stan tunelu określa aktualny stan tunelu - zestawiony (tunel działa poprawnie) lub nieaktywny (tunel nie został jeszcze poprawnie skonfigurowany, lub nie zestawiono połączenia). 8
ROZDZIAŁ 3. KONFIGURACJA 3.5.2. Serwer W trybie pracy SERWER można skonfigurować wiele tuneli - urządzenie SER- WER może oczekiwać na wiele połączeń od urządzeń KLIENT, i jednocześnie obsługiwać wiele tuneli. Po wybraniu z menu głównego Konfiguracja tuneli, otwiera się podmenu z listą tuneli, która na początku jest pusta: Po wybraniu opcji Dodaj tunel, system zapyta o adres IP klienta, który jednocześnie będzie identyfikatorem tunelu: Poniżej przedstawiono wygląd menu listy tuneli po dodaniu kilku przykładowych tuneli: 9
ROZDZIAŁ 3. KONFIGURACJA Obok numeru IP klienta znajduje się informacja o aktualnym stanie tunelu. Może to być - tak jak w przypadku klienta - zestawiony lub nieaktywny. Po wyborze któregoś z listy wcześniej wprowadzonych tuneli, otwiera się podmenu z konfiguracją tego tunelu. Menu konfiguracji serwera: Kompresja Kompresja pakietów jest wykonywana przed szyfrowaniem - kompresowanie danych zaszyfrowanych nie miałoby sensu. System umożliwia 9 poziomów kompresji: 9 oznacza największą kompresję, 0 (domyślne) - brak kompresji. Po wybraniu Kompresja z menu serwera, należy wpisać poziom kompresji. Przepustowość ABA SecureBridge umożliwia ograniczenie przepustowości tunelu. Opcja ta może okazać się przydatna w przypadku potrzeby wykorzystania łącza, przez które zestawiony jest tunel, również do innych celów. Po wybraniu z menu serwera Przepustowosc, należy podać maksymalną dopuszczalną przepustowość tunelu (w kilobitach na sekundę). 10
ROZDZIAŁ 3. KONFIGURACJA Usunięcie tunelu Aby usunąć dany tunel z listy tuneli serwera, należy wybrać opcję Usun ten tunel. System poprosi wówczas o potwierdzenie usunięcia: 3.6. Ustawienia bridge a Po wybraniu z menu głównego Ustawienia bridge a, pojawi się podmenu: 3.6.1. Pamięć bridge a Pamięć bridge a to ilość czasu (w minutach), przez jaką bridge pamięta nieaktywny adres MAC. Bridge zapamiętuje adresy MAC urządzeń przyłączonych do jego portów - w tym przypadku do portu lokalnego, oraz portów wirtualnych, związanych z tunelami do innych urządzeń ABA SecureBridge. Przy każdej aktywności danego urządzenia, bridge zeruje jego licznik, zaczynając odmierzać czas - aż do kolejnej aktywności. Gdy czas 11
ROZDZIAŁ 3. KONFIGURACJA nieaktywności danego numeru MAC osiągnie wartość podaną w konfiguracji, numer ten jest usuwany z tablicy bridge a. Mechanizm ten został stworzony po to, aby umożliwić przenoszenie urządzeń o określonych numerach MAC pomiędzy różnymi portami bridge a (w przypadku ABA SecureBridge pomiędzy różnymi lokalizacjami). Jeżeli nieczęsto zachodzi taka konieczność, może być on ustawiony na dość wysoki. Dzięki temu ABA SecureBridge nie będzie wysyłać niepotrzebnych, rozgłoszeniowych ramek Ethernet przez tunel, gdy przeznaczone one będą dla nieaktywnego przez jakiś czas urządzenia. 3.6.2. Statystyki bridge a Po wybraniu z menu głównego 5. ABA SecureBridge. Przykładowe statystyki: Statystyka, wyświetlone zostaną statystyki port nr mac czy lokalny? czas nieaktywnosci 1 00:00:39:3f:ea:33 nie 0.08 1 00:02:b3:4c:47:18 nie 28.59 2 00:02:b3:95:9f:a6 tak 0.00 1 00:20:ed:35:3f:78 tak 0.00 1 00:40:95:30:b4:83 nie 4.24 1 00:50:04:57:5e:82 nie 0.03 1 00:50:ba:cc:5b:cd nie 76.51 1 00:a0:60:00:02:c1 nie 0.17 2 00:d0:09:a4:0d:4e nie 12.34 2 00:d0:09:b6:02:93 nie 0.23 1 00:d0:68:01:df:16 nie 0.15 1 00:d0:b7:80:ea:55 nie 20.18 2 00:d0:b7:a9:53:00 nie 0.08 1 00:d0:b7:b8:a4:3e nie 0.02 1 00:e0:bc:39:0d:70 nie 2.67 W kolejnych wierszach znajdują się poszczególne wpisy z tablicy bridge a, zawierające adresy interfejsów sieciowych z obu lokalizacji. W pierwszej kolumnie (port) znajduje się numer portu ABA SecureBridge - 1 oznacza lokalny port (lokalną sieć), natomiast numer 2 (lub wyższy) oznacza zdalną sieć (znajdującą się w odległej lokalizacji). W następnej kolumnie znajdują się numery MAC interfejsów sieciowych. Wartość tak w kolumnie czy lokalny? oznacza iż ten wpis dotyczy lokalnego interfejsu, znajdującego się w urządzeniu. W ostatniej kolumnie statystyk znajduje się ilość sekund, jaka upłynęła od ostatniej zarejestrowanej aktywności danego interfejsu (licznik czasu nieaktywności danego numeru MAC - patrz Pamięć bridge a powyżej). 3.7. Zapis ustawień Aby zmiany zostały uwzględnione, muszą zostać zapisane, a następnie ABA Secure- Bridge musi zostać zrestartowane z nowymi ustawieniami. Zapisu konfiguracji dokonuje się po wyborze Zapis konfiguracji z menu głównego. 12
ROZDZIAŁ 3. KONFIGURACJA Zostanie zapisana wówczas bieżąca konfiguracja. Konieczny jest jeszcze restart urządzenia (patrz Zakończenie pracy ) z nowymi ustawieniami. 3.8. Zakończenie pracy Aby zakończyć pracę z konfiguratorem, należy wybrać ostatni punkt w menu głównym - Koniec. System zapyta czy uruchomić urządzenie ponownie z aktualnie zapisaną konfiguracją: Czy uruchomic ponownie system z nowymi ustawieniami? (t/n) Po wprowadzeniu t sytem zrestartuje się. 13
Rozdział 4 Komunikaty błędów Ukazanie się podczas startu systemu komunikatu: BLAD!!! Brak konfiguracji! Zatrzymuje system lub: BLAD!!! Uszkodzona konfiguracja! Zatrzymuje system oznacza uszkodzenie struktury pamięci Flash-ROM (DiskOnModule). Komunikat: BLAD!!! Niewlasciwy sprzet!!! Zatrzymuje system oznacza, iż dysk FlashROM jest uruchomiony na platformie sprzętowej nie przeznaczonej dla niego. 14
Dodatek A Notacja prefiksowa Format prefiksowy adresów IP ma postać aaa.bbb.ccc.ddd/mm, gdzie ostatni człon mm oznacza ilość bitowych jedynek w masce podsieci (tzw. długość prefiksu). Jest to skrócona postać maski, podawana razem z adresem IP. Poniższa tabelka pozwala na szybką konwersję pomiędzy długością prefiksu, a tradycyjnym formatem. Długość prefiksu Maska podsieci 30 255.255.255.252 29 255.255.255.248 28 255.255.255.240 27 255.255.255.224 26 255.255.255.192 25 255.255.255.128 24 255.255.255.0 23 255.255.254.0 22 255.255.252.0 21 255.255.248.0 20 255.255.240.0 19 255.255.224.0 18 255.255.192.0 17 255.255.128 16 255.255.0.0 15