Rechnernetze - Praktikum. Linux ans Netz. Alexander Gladisch Ragnar Nevries

Transkript

1 Rechnernetze - Praktikum Linux ans Netz Betreuer Praktikum: Betreuer Technik: Martin Garbe Alexander Gladisch Ragnar Nevries Hannes Alwardt Kontakt: {vorname.nachname}@informatik.uni-rostock.de 16. Oktober 2008 Lehrstuhl für Informations- und Kommunikationsdienste (IuK) In dieser Übung ist ein Linux-PC via Ethernet-Adapter an das LAN und an das Internet anzubinden. Anschließend sind einige Versuche mit verschiedenen netzspezifischen Programmen durchzuführen. Ziel ist die Einarbeitung in die grundlegenden Arbeitsschritte zur Konfiguration eines Linux-Systems als Netzwerk-Client. 1

2 Inhaltsverzeichnis 1 Ziele 2 2 Versuchsanordnung 2 3 Vorbereitung 2 4 Protokollanleitung und Hinweise 3 5 Aufgaben Aufgabe 1: Verbindung - Hardware Aufgabe 2: Verbindung - Software Aufgabe 3: Konfiguration einer statischen IP Adresse über Startskripte Aufgabe 4: DNS-Client Aufgabe 5: Konfiguration einer dynamischen IP Adresse über Startskripte Aufgabe 6: Belauschen des Datenverkehrs Aufgabe 7: Netzmaskenberechnung Zusatzaufgabe 1: Fehler Zusatzaufgabe 2: NMAP Ziele Bei der Durchführung dieses Versuchs soll der Praktikant/die Praktikantin folgende Fähigkeiten erwerben: 1. einen Linux-Rechner (hier: Fedora) in ein bestehendes TCP/IP-basiertes Rechnernetz zu integrieren, 2. fehlerhafte Netzwerkkonfigurationen zu erkennen und zu beheben, 3. Netzwerkmasken und Broadcastadressen zu berechnen. 2 Versuchsanordnung Für diesen Versuch stehen Ihnen im Netzwerk-Labor Rechner mit dem Betriebssystem Fedora-Linux und ein TCP/IP-basiertes Versuchsnetzwerk zur Verfügung. 3 Vorbereitung Diese Informationen benötigen Sie, um den Rechner in das Netzwerk einzubinden. Notieren Sie diese im Protokoll. 2

3 IP-Adresse (20+Rechnernummer) Netzmaske Netzadresse Broadcast-Adresse DNS-Server Default-Gateway Proxy-Server Folgende Nutzer und Passwörter sind für den Versuch relevant: Account-Typ Nutzername Passwort lokal netprak netprak lokal root iuk--net remote (telnet,ssh) bob password Machen Sie sich mit den folgenden Befehlen und Dateien vertraut. Einige davon werden Sie für Ihre Arbeit zwingend benötigen (diese bitte protokollieren), einige erleichtern den Linux-Alltag. man grep apropos lsmod rmmod modprobe strings ifconfig dhclient netstat route arp whois wireshark service chkconfig ping traceroute nmap nslookup host whois dig telnet ssh scp gftp mount umount mii-tool ethtool dmesg Die Dateien sind: /etc/modprobe.conf (/etc/modules.conf) /etc/sysconfig/network /etc/sysconfig/network-scripts/ifcfg-* /etc/hosts /etc/host.conf /etc/nsswitch.conf /etc/resolv.conf 4 Protokollanleitung und Hinweise Erstellen Sie ein Deckblatt mit Versuchstitel, Datum und den Namen der VersuchsteilnehmerInnen. Übertragen Sie die Fragen und die Aufgabenstellungen in das Protokoll. 3

4 Beschreiben Sie die Versuchsdurchführung und die so erhaltenen Ergebnisse mit allen Schritten, die zu dem Resultat führten! Die Versuchsdurchführung muss für Dritte kausal schlüssig und nachvollziehbar sein. Übernehmen Sie die jeweils verwendeten Befehle mit notwendigen Parametern bzw. Konfigurationseinträgen von Skripten in das Protokoll, beschreiben Sie kurz und prägnant den jeweiligen Zweck des Befehls, Skriptes bzw. Eintrages im Sinne der Aufgabe und übernehmen und kommentieren Sie die Befehlsausgaben bzw. Ergebnisse der Skriptausführung! Konsolenausgaben, Texte von Konfigurationsdateien bzw. Screenshots sind dabei in geeigneter Form in das Protokoll einzubinden (Hinweis aus Erfahrung: nicht seitenweise vom Bildschirm abschreiben, sondern Befehlsausgaben umleiten, Speichermedium benutzen, z.b. USB-Stick). Gehen Sie auf alle Fragen ein! Treten bei dem Versuch Probleme auf, so halten Sie im Protokoll fest, was unter welchen Bedingungen aufgetreten ist, was Sie dagegen mit welchem Resultat getan haben und was Ihrer Meinung nach die Ursache des Problems ist! Das Protokoll ist elektronisch, z.b. mit L A TEX oder einem Textverarbeitungsprogramm, zu erstellen. Versuch Form der Protokollabgabe Abgabezeitpunkt Linux ans Netz ausgedruckt bei Frau Krause im Raum C110, Albert-Einstein-Str Wochen nach Bearbeitung des Versuchs Socket- wie Versuch 1 jedoch zusätzlich Programmierung Programmquelltext per Mail an mgarbe@informatik.uni-rostock.de senden Layer 3 Switch wie Versuch 1 wie Versuch 1 Linux: Die zur Erstellung des Protokolls notwendigen Programme sind bereits lokal installiert, z.b. kile und TeTeX (LaTeX), kpdf, OpenOffice, ksnapshot. Sie können bei Bedarf mit den vorhandenen Installationsmanagern weitere Software nachinstallieren, da Sie root-nutzer sind. Verwenden Sie hierzu z.b. den grafischen Fedora Installationsmanager, die Konsolenprogramme yum oder rpm bzw. die erweiterte grafische Yum-Version yumex (Yum Extender). Als Dateimanager steht Ihnen neben dem konqueror noch krusader zur Verfügung. Proxy: Um mit einem Programm aus dem Privatnetz Verbindungen in das Internet aufzubauen, z.b. mit dem Browser Firefox oder dem Installationstool yum, müßt Ihr einen Proxy konfigurieren: , Port Aufgaben 5.1 Aufgabe 1: Verbindung - Hardware Um einen Rechner in ein Netzwerk zu integrieren, arbeiten Sie die Schichten des ISO/OSIrespektive TCP/IP-Modells, beginnend mit der Physikalischen Schicht, nacheinander ab. 4

5 Das heisst, schliessen Sie zuerst den zu integrierenden Rechner mit dem korrekten Netzwerkkabel an den Switch, Hub oder Router an. Erst nachdem Sie dies durchgeführt haben, konfigurieren Sie die Netwerkkarten, setzen IP-Adressen und die Einträge in der Routingtabelle. Konfigurieren Sie dann Dienste, Anwendungsprogramme und Server, wie z.b. DNS und Web-Browser. Überzeugen Sie sich nach jedem Arbeitsschritt, dass die gemachten Einstellungen korrekt sind. Bei der Fehlersuche/-behebung arbeiten Sie das ISO/OSI- Schichtenmodell auf die gleiche Weise ab. In dieser Aufgabe werden Sie mit der Verkabelung (also Stecker, Kabeltypen,...) vertraut gemacht. Für diese Aufgabe nutzen Sie den 8-Port-Netgear-Hub und die drei durchnummerierten Testkabel 1. Stellen Sie zunächst die Stromversorgung für den Hub her. Der Hub besitzt 4 Ports, davon ein Port welches zum Anschluss eines weiteres Hubs oder eines Rechners verwendet werden kann. Die Auswahl erfolgt über den Schalter am Hub. Bei den drei Kabeln handelt es sich um ein Crosslink- Kabel, ein intaktes sowie ein defektes Patchkabel. Ermitteln Sie mit Hilfe des Hubs, welches Kabel gekreuzt, defekt bzw. intakt ist und notieren Sie es mit Begründung im Protokoll. Um ein Kabel zu testen, schliessen Sie es einfach an zwei Ports des Hubs an. Eine grüne LED zeigt eine Verbindung an. Notieren Sie auch welche Ports Sie verwendet haben. Warum ist Port 8 des Hubs für diesen Versuch besonders gut geeignet? 5.2 Aufgabe 2: Verbindung - Software In dieser Aufgabe geht es darum, den Rechner softwareseitig manuell in das Netzwerk zu integrieren. Überprüfen und protokollieren Sie die nachfolgend auftretenden Auswirkungen der angegebenen Kommandos. Informieren Sie sich mittels man ifconfig über den Befehl ifconfig. Lassen Sie sich die Netzwerkgeräte mittels ifconfig -a anzeigen. Lassen Sie sich mit lspci die installierten PCI-Geräte anzeigen. Warum können Sie auf diese Weise nicht den Typ der Netzwerkkarte ermitteln? Lassen Sie sich die Liste der geladenen Kernelmodule mit lsmod anzeigen. Der Treiber für Ihre Netzwerkkarte heisst e1000. Ist er bereits geladen? Wenn nicht, laden Sie Ihn mit modprobe e1000. Lassen Sie sich nun erneut die verfügbaren Netzwerkkartentreiber anzeigen. Geben Sie die Routingtabelle mittels netstat -r aus. Welche Einträge sind vorhanden? Aktivieren Sie die Netzwerkkarte und weisen Sie Ihr manuell IP-Adresse, Netzmaske und Broadcastadresse zu. Verwenden Sie dazu den Befehl ifconfig eth (20+Rechnernummer) netmask broadcast up. Geben Sie die Routingtabelle erneut aus. Welche Einträge sind nun vorhanden und was bedeuten sie? Fügen Sie mit dem Kommando route add default gw die Default-Route hinzu. Welche Einträge befinden sich nun in der Routingtabelle? 1 Die Rechner im Labor werden für diese Aufgabe nicht benötigt. 5

6 Testen Sie mit dem Kommando ping , ob eine Verbindung zu besteht. Ermitteln Sie mit dem Kommando traceroute , welchen Weg durch das Netzwerk IP-Pakete von Ihnen an die zurücklegen. Deaktivieren Sie das Interface mit dem Befehl ifconfig eth down. 5.3 Aufgabe 3: Konfiguration einer statischen IP Adresse über Startskripte In Fedora Linux sind Skripte enthalten, die automatisch die notwendigen Netzwerkeinstellungen vornehmen. Gesteuert werden diese Skripte über Konfigurationsdateien, die Sie in dieser Aufgabe anpassen bzw. erstellen werden. Dokumentieren Sie die Auswirkungen der folgenden Aktionen auf das System. Wechseln Sie in das Verzeichnis /etc/sysconfig/network-scripts. Erstellen Sie mit dem Texteditor Ihrer Wahl 2 die Datei ifcfg-eth0, so dass sie folgende Zeilen enthält: DEVICE=eth0 BOOTPROTO=static BROADCAST= IPADDR= (20+Rechnernummer) NETMASK= NETWORK= ONBOOT=yes Fügen Sie in der Datei /etc/sysconfig/network den Eintrag GATEWAY mit dem Wert hinzu. Aktivieren Sie die Netzwerkkarte mit dem Befehl ifup eth0. Überprüfen Sie die Konfiguration mit einem Ping auf den Rechner Aufgabe 4: DNS-Client In dieser Aufgabe wird die DNS-Unterstützung Ihres Rechners konfiguriert. Dokumentieren Sie die Auswirkungen der folgenden Aktionen auf das System. Die IP-Adressen der DNS-Server tragen Sie in die Datei /etc/resolv.conf ein in der Form: search netprak.iuk.test nameserver Welche anderen Einstellungen können in dieser Datei noch gemacht werden (man resolv.conf)? Der Rechner kann mehrere Verzeichnisdienste neben DNS nutzen, z.b. NIS+ oder LDAP. In der Konfigurationsdatei /etc/nsswitch.conf können verschiedene Verzeichnissdienste für einzelne Funktionen ausgewählt werden. Die Einträge in der Datei haben die Form: <<Funktion>>: <<Verzeichnissdienst 1>> <<Verzeichnissdienst 2>>... Ein Eintrag könnte z.b. lauten: aliases: files nisplus. Informieren Sie sich in der Man-Page über die Datei /etc/nsswitch.conf. 2 z.b. vi(m), emacs, gedit unter X 6

7 Pingen Sie den Rechner mit dem Namen chef an. Konfigurieren Sie die nsswitch.conf so, dass nur noch files zur Rechnernamensauflösung genutzt wird. Was passiert bei einem erneuten Ping an chef? Erklären Sie das Verhalten. Machen Sie die Änderung wieder rückgängig. Die lokale Konfigurationsdatei für die Auflösung von Rechnernamen ist /etc/hosts. Die Einträge in der Datei haben die Form: <<IP-Adresse>> <<Rechnername 1>> <<Rechnername 2>>... Ein Eintrag lautet üblicherweise: localhost.localdomain localhost Warum ist dieser Eintrag sinnvoll? Ermitteln Sie mit nslookup zehn die IP-Adresse des Rechners zehn. Warum sollte nslookup nicht mehr verwendet werden? Welcher Befehl sollte stattdessen verwendet werden? Ermitteln Sie nun mit diesen Befehl den Namen des Rechners mit der IP-Adresse Ermitteln Sie mit Hilfe des Programms dig +noall +authority die für die Rechnernamen und zuständigen DNS-Server. Analysieren Sie außerdem mit dig +trace, wie die Rechnernamen vom DNS-System aufgelöst werden. 5.5 Aufgabe 5: Konfiguration einer dynamischen IP Adresse über Startskripte Mit Hilfe eines DHCP Server kann die Konfiguration der Netzwerkeinstellungen automatisiert geschehen. Erläutern Sie, in welchen Fällen dies Vorteile gegenüber der statische Konfiguration hat. Um die Nertwerkkonfiguration per DHCP zu holen, muss die Datei /etc/sysconfig/network-scripts/ifcfg-eth0 folgende Zeilen enthalten: DEVICE=eth0 BOOTPROTO=dhcp ONBOOT=yes Lösche Sie den GATEWAY Eintrag aus /etc/sysconfig/network und die Einträge in /etc/resolv.conf. Deaktivieren Sie das Interface eth0 mit ifdown eth0 und starten Sie es erneut mittels ifup eth0. Welche IP Adresse hat der Rechner jetzt? Wie sieht die Routing Tabelle aus? Welcher DNS Server ist jetzt konfiguriert? 5.6 Aufgabe 6: Belauschen des Datenverkehrs Im folgenden Versuch werden Sie den Datenverkehr über das Netzwerk mit Hilfe des Programmes wireshark (früher ethereal) analysieren. wireshark benötigt ein X- Window System. Sollte auf Ihrem Rechner X-Window nicht aktiv sein, so können Sie es mit startx aktivieren. 7

8 Starten Sie das Programm wireshark als root. Sie können die Aufzeichnung des Datenverkehrs starten, indem Sie im Menü Capture den Menüpunkt Options wählen. Im folgenden Dialog wählen Sie eth0 als Interface und aktivieren die Optionen Capture packets in Promiscuous-Mode, Update lists of packets in real time, Automatic scrolling in live capture, Enable MAC name resolution und Enable transport name resolution. Wählen Sie dann Start. Das Programm zeichnet den Netzverkehr nun auf. Um die Aufzeichnung zu beenden, wählen Sie Stop. Sie können die Aufzeichnungen abspeichern und später (auch auf anderen Rechnern) wieder öffnen. Zwischen den Aufzeichnungen wählen Sie im Menü File Close, um den Mitschnitt zu löschen. Schneiden Sie den Datenverkehr einer telnet-verbindung mit! Nutzen Sie hierzu telnet und loggen Sie sich als Benutzer bob ein. Im oberen Fensterrahmen befindet sich eine Liste der aufgezeichneten IP-Pakete. Warum können sich auch Pakete in der Liste befinden, die weder von Ihren Rechner stammen noch an ihn gesendet wurden 3? Welche Netzwerkdienste hat ihr Rechner genutzt? Im mittleren Rahmen können Sie das im oberen Rahmen gewählte IP-Paket genauer betrachten. Im unteren Rahmen wird das ausgewählte Paket byteweise dargestellt. Suchen Sie die Pakete, welche das Passwort enthalten, welches Sie zum Login auf genutzt haben. Wireshark zeigt nicht nur IP-Pakete an. Was für Datenpakete, außer IP, werden im oberen Fenster von wireshark noch angezeigt? Wie werden die von wireshark aufgezeichneten PDUs korrekterweise bezeichnet? Wiederholen Sie den Versuch jetzt mit ssh (ssh ). Können Sie das Passwort nun in den Paketen finden? 5.7 Aufgabe 7: Netzmaskenberechnung Jedem Netzwerkgerät muss eine eindeutige IP-Adresse zugeordnet werden. IPv4- Adressen bestehen aus 32 Bit und werden üblicherweise in der Form Byte1.Byte2.Byte3. Byte4 notiert. Die ersten n Bits der Adresse sind dabei der sogenannte Netzanteil, die restlichen (32 n) Bits sind der Hostanteil. Der Netzanteil adressiert dabei das Netzwerk, in welchem sich der Host befindet, der Hostanteil bestimmt dann den Host. Ursprünglich existierten nur drei verschiedenen Klassen von Netzen: Klasse A- Netze mit 8 Bit Netz- und 24 Bit Hostanteil, Klasse B mit 16 Bit Netz- und 16 Bit Hostanteil sowie Klasse C mit 24 Bit Netz- und 8 Bit Hostanteil. Um dieses starre Adressierungsschema zu durchbrechen, wurden Netzmasken eingeführt. Bei einer Netzmaske handelt es sich ebenfalls um einen 32 Bit-Wert. Es werden jeweils die Bits gesetzt, welche Bestandteil des Netzanteils der Adresse sein sollen. Für ein Netz der Klasse A beispielsweise ist die Netzmaske Notiert werden Netzmasken zusammen mit den Netzadressen in der Form: Netzadresse/Netzmaske, also z.b Stichworte: Broadcast-Medium und Promiscuous-Mode 8

9 0.0.0/ Geben Sie nun die Netzmasken für Klasse B und Klasse C-Netze an! Mit Hilfe von Netzmasken ist es möglich, Netze in mehrere kleinere Subnetze zu zerlegen. So kann man das private Klasse A-Netz / in zwei Subnetze zerlegen (halbieren), indem man ein Bit vom Hostanteil in den Netzanteil übernimmt: / und / Zerlegen Sie nun das private Klasse C-Netz / in vier gleichgrosse Subnetze und notieren Sie diese im Protokoll. Um die Broadcast-Adresse eines Netzes zu bilden, müssen alle Bits des Hostanteils gesetzt werden, also z.b. für / ist die Broadcast-Adresse Bestimmen Sie die Broadcast-Adressen für das private Klasse C- Netz und die vier von Ihnen gebildeten Subnetze. Welches Problem tritt hierbei auf? Ergänzen Sie die folgende Tabelle. Netzadresse Netzmaske Broadcast-Adresse erste Host-Adresse Zusatzaufgabe 1: Fehler Was müssen Sie tun, um folgenden Fehler zu verursachen? Der Rechner kann alle Rechner im gleichen Netz erreichen aber keinen Rechner außerhalb des Netzes. Alle anderen Rechner im gleichen Netz können die Aussenwelt erreichen und untereinander Daten austauschen. 5.9 Zusatzaufgabe 2: NMAP Das Ziel dieser Aufgabe ist es, Ihnen Gefahren zu zeigen, welche einem frisch installierten und nicht weiter konfigurierten System in einem öffentlichen Netz ausgesetzt sind. Machen Sie sich mit dem Programm nmap bekannt. Nmap dient dazu, Sicherheitslücken in einzelnen Rechnern und ganzen Rechnernetzen aufzuspüren. Verwenden Sie das Programm immer nur in Absprache mit den Eigentümer des zu analysierenden Rechners. Jeder nicht abgesprochene Einsatz wird als Angriff auf das System gewertet. Zudem analysieren Prozesse in den meisten Systemen den Datenverkehr und erkennen solche Angriffe. Sie werden also nicht unbemerkt bleiben. Erklären Sie, was ein TCP-connect()-Scan und was ein TCP SYN- Scan ist und führen Sie beide Scans durch. Ziel ist natürlich Ihr eigener Rechner ( (20+Rechnernummer) )!!! Geben Sie die Ergebnisse beider Scans im Protokoll an. Geben Sie für mindestens drei offene TCP-Ports an, welcher Dienst standardmäßig auf diesem Port angeboten wird und welche Gefahr davon 9

10 ausgehen könnte, das dieser Dienst (unbemerkt vom Nutzer) vom Rechner angeboten wird. Beenden Sie nun die Dienste ssh, rpcbind und konfigurieren Sie cups so, dass es nur an der lokalen IP Daten entgegennimmt. Führen Sie einen weiteren Scan Ihrer Wahl durch und vergleichen Sie die Ergebnisse dieses und der vorherigen Scans. Welchen Dienst müssen Sie beenden, um den TCP-Port 22 zu schliessen? Belegen Sie die Richtigkeit Ihrer Entscheidung durch einen Scan. Literatur [1] Linux Networking HOWTO Joshua Drake [2] ifconfig man-page [3] netstat man-page [4] route man-page [5] arp man-page [6] whois man-page [7] iptraf user s manual [8] Wireshark Homepage [9] Promiscuous-Mode 10