Übung 3 - Ethernet Frames

Transkript

1 Übung 3 - Musterlösung 1 Übung 3 - Ethernet Frames Booten Sie auf dem Security-Lab PC das Windows XP Betriebsystem und tätigen Sie ein Login mit: Username: Password: 1 MAC Adressen seclab strongswan Bestimmen Sie die MAC Adresse Ihres Security-Lab PCs und benutzen Sie den Link um über den OUI Teil der MAC Adresse den Hersteller der Netzwerkkarte herauszufinden: OUI: Hersteller: Fujitsu Siemens Computers, Augsburg, Germany Pingen Sie nun den Default-Gateway , der das Security-Lab LAN vom restlichen HSR Netz abtrennt und bestimmen Sie mit arp a die MAC Adresse und anschliessend via den OUI den Hersteller des Gateways. MAC: 00-1e-13-4e-b5-bf OUI: 00-1e-13 Hersteller: Cisco Systems 2 Ethernet Frame Typen Starten Sie Wireshark mit der Grundkonfiguration aus Bild 1. Bitte beachten Sie wie die Häkchen in den Kästchen gesetzt sind. Lassen Sie den Netzwerk-Analyzer einige Minuten laufen, damit möglichst viele verschiedene Protokolltypen aufgenommen werden und stoppen Sie anschliessend Wireshark. Welche e werden in Ethernet_II Frames und welche in IEEE Ethernet Frames übertragen? Ethernet_II: ARP, UDP/IP, TCP/IP IEEE 802.3: Spanning Tree Protocol (STP), Cisco Discovery Protocol (CDP)

2 Übung 3 - Musterlösung 2 Bild 1: Wireshark Grundkonfiguration Ethernet_II verwendet ein so genanntes Typen-Feld. Welchen Zweck erfüllt dieses Feld, wenn Sie ans OSI-Modell denken? Es bestimmt das Protokoll des nächsthöheren OSI-Layers, also das verwendete Layer 3 Protokoll. Kodiert als 16 Bit Nummer, wobei IP z. Bsp. dem Wert 0x0800 zugewiesen ist. IEEE verwendet das 16 Bit grosse Typen-Feld vom Ethernet II zur Längenangabe. Wie findet man nun heraus, welches Protokoll auf dem nächst höheren Layer eingesetzt wird? Der LLC des IEEE Formats definiert hierfür die beiden Felder SSAP und DSAP, die allerdings nur 1 Byte gross sind. Damit lassen sich lediglich 256 Protokolle unterscheiden. Um das Problem zu beheben, werden so genannte SNAP Frames eingesetzt, welche ein 5 Bytes grosses SNAP-Feld enthalten. Die ersten drei Bytes geben den Hersteller an (Cisco 0x00000c) und die letzten zwei Bytes stehen für das nächsthöhere Protokoll.

3 Übung 3 - Musterlösung 3 Wie kann Wireshark IEEE und Ethernet II Frames voneinander unterscheiden? Bedenken Sie, dass das Typenfeld und das Längenfeld sowohl gleich gross, als auch an derselben Position im Frame liegen! Ein Ethernet Frame hat eine maximale Payload-Länge von 1500 Bytes. Alle verwendeten Ethernet II Type Codes sind grösser als Dementsprechend: <= 1500 = IEEE > 1500 = Ethernet II Finden Sie heraus, um was es sich bei Jumbo Frames handelt! Ergründen Sie Nutzen und Einsatzgebiet solcher Jumbo Frames! Was für Probleme könnten beim Einsatz von Jumbo Frames entstehen? Jumbo Frames sind Ethernet Frames mit mehr als 1500 Bytes Payload. Es können bis zu 9000 Bytes Payload in einem Jumbo Frame übertragen werden. Verwendet werden sie vor allem bei der Übertragung von grossen Datenmengen (Filetransfers), wobei es darum geht, die Effizienz bezüglich Protokoll-Overhead zu steigern. Problematisch ist der Aspekt des fehlenden Standards bei Jumbo Frames. Router und Switches müssen Jumbo Frames unterstützen, damit erfolgreich kommuniziert werden kann. Bestimmen Sie nun für folgende Netzwerkpakete den Aufbau des Ethernet Frames und tragen Sie die entsprechende Information in die vorbereiteten Templates auf der nächsten Seite ein: ARP Request Cisco Discovery Protocol (CDP) DNS Query Spanning Tree Protocol (STP)

4 Übung 3 - Musterlösung 4 Ethernet II Frames Ethernet Payload Type (Ethertype) ARP Request ff:ff:ff:ff:ff:ff (MAC Broadcast) 0x0806 (ARP) Ethernet Payload Type (Ethertype) DNS Request 00:1e:14:4e:b5:bf (MAC Unicast) 0x0800 (IP) IEEE Frames Length 0x0190 (400) LLC I/G und U Flags LLC DSAP LLC C/R und U Flags LLC SSAP LLC Control SNAP OUI SNAP PID Cisco Discovery Protocol (CDP) 01:00:0c:cc:cc:cc (MAC Multicast) Individual, IEEE 0xaa (SNAP) Command, IEEE 0xaa (SNAP) 0x c (Cisco) 0x2000 (CDP) Length 0x0026 (38) LLC I/G und U Flags LLC DSAP LLC C/R und U Flags LLC SSAP LLC Control SNAP OUI - SNAP PID - Spanning Tree Protocol (STP) 01:80:c2:00:00:00 (MAC Multicast) Individual, IEEE 0x42 (802.1d Spanning Tree Protocol) Command, IEEE 0x42 (802.1d Spanning Tree Protocol) 0x03

5 Übung 3 - Musterlösung 5 Weshalb benutzen CDP und STP eine Multicast-Empfänger-MAC-Adresse? Die Pakete sind dazu gedacht, eine spezielle Gruppe von Netzwerkgeräten (Router/Switch) innerhalb eines Layer 2 Segments zu erreichen. Ein Broadcast hingegen wäre an alle Stationen der Broadcast Domain gerichtet. 3 Kurze Ethernet Frames Senden Sie mit dem Befehl ping n 1 l einen verkürzten ICMP Request der Länge 16 Bytes an den Default Gateway und analysieren Sie das retournierte ICMP Reply Paket mit Wireshark. Wie gross wird der gesamte Ethernet MAC Frame? Die Grösse des MAC Rahmen wird 66 Bytes, Wireshark zeigt aber nur 62 Bytes an weil die 4 Byte lange Frame Check Sequence (FCS) fehlt, die von der Netzwerkkarte nicht zurückgegeben wird. Eigentlich müsste um die robuste Kollisionsdetektion zu garantieren, der minimale Ethernet Frame nur auf 64 Bytes ergänzt werden. Die Netzwerkkarte wählt aber das Padding um zwei Bytes zu gross (vier Nullbytes anstatt zwei). Was stellen Sie fest, wenn Sie die Länge des ICMP Requests mit ping n 1 l auf 10 Bytes verkleinern? Wie kann das festgestellte Verhalten erklärt werden? Die Grösse des MAC Rahmen wird 64 Bytes, d.h. das Padding umfasst nun acht Nullbytes.