FP&S. Linux-basierter Zugangsrouter und Firewall

Transkript

1 FP&S Linux-basierter Zugangsrouter und Firewall

2 Betreuer Dozent: Prof. B. Plattner Praktikumsbetreuer Bernhard Distl Praktikumsanleitung ( Manuals ) Entwickelt im WS 03/04 (Gabriel Müller und weitere Autoren) Revidiert im WS 04/05 (Gabriel Müller, Hanspeter Hug) Revidiert im WS 05/06, 06/07 (Gabriel Müller) Revidiert für FS 2011 (Bernhard Plattner, Bernhard Distl) 2 ETH Zurich The Communication Systems Group NSHS07H

3 Lehr- und Lernziel Selbstbau eines Linux-Routers und Firewall und damit vertiefte Kenntnis über die Funktionsweise. Software: Mini-Distribution von Linux Bootet von verschiedenen Medien, Diskette, Compact-Flash-Karte, HD, CD, Routing, NAT, DHCP/DHCPD, Firewall, WLAN Access Point läuft auf beliebigen PC-Plattformen. Nach dem PPS: zuhause installieren und betreiben, viel gelernt über Betriebssysteme und Netzwerke Voraussetzungen gute Kenntnisse der Internet-Protokolle Freude am Experimentieren Gefühl für PC-Technik ETH Zurich The Communication Systems Group NSHS07H

4 Methode und Ansatz Plattform: Kompakter PC, ohne drehende Teile leise, kleiner Energieverbrauch Kompakte, eingeschränkte Distribution von Linux Zugeschnitten für die Anwendung als eingebettetes System Bootet ab beliebigen Medien Übersichtlich Relativ einfache Konfiguration Fernbedienung und Fernwartung möglich Wir bauen das System schrittweise auf 1. Basisfunktionen 2. Firewall-Konfiguration 3. Automatische Konfiguration von Hosts mittels DHCP 4. Optionale Softwarepakete ETH Zurich The Communication Systems Group NSHS07H

5 Linux-Distribution Bering Linux Embedded Appliance Firewall (LEAF) URL: Bering ist eine von mehreren LEAF-Varianten Warum Bering Verwendet einen modernen Linux-Kernel (>= ) Sehr aktive Entwicklergemeinschaft Es gibt zwei Bering-Implementationen Bering die ursprüngliche Version, verwendet glibc oder wird nicht mehr weiter entwickelt Bering-uClibc für sehr kompakte Systeme, verwendet uclibc, aktuell: Version 4.3, wird weiter entwickelt Im PPS verwenden wir Bering-uClibc 5.x ETH Zurich The Communication Systems Group NSHS07H

6 Demonstration: Startvorgang von Bering 1. (Unsichtbar): Lesen der Boot-Information vom Disk 2. Lesen und Ausführen des Bootloaders syslinux 3. Lesen und Ausführen des Linux-Kernels 4. Laden der Packages 5. Hochfahren des Systems: 1. Erstellen eines Ram-Disks 2. Erstellen eines Linux-Root-Filesystems im RAM 3. Initialisieren der Hardware, inkl. Netzwerkkarten 6. Initialisieren der Packages 7. Warten auf login des Benutzers (root) 8. Nach dem login: Starten des Konfigurationsprogramms ( lrcfg ) ETH Zurich The Communication Systems Group NSHS07H

7 Theorie Firewall Was ist das? Warum brauchen wir Firewalls? Komponenten eines Firewalls: Paketklassifikation, Zustandsverfolgung, Logging (evtl. Forwarding) Was gehört nicht in einen Firewall? Unsere Hardware-Plattform PC-Architektur Settop Box / Taskrunner Master Boot Record (MBR) Linux Linux-Bootprozess ETH Zurich The Communication Systems Group NSHS07H

8 Eine alte Aufzeichnung von meinem Firewall Datum Zeit Absender Ziel (mein Rechner) Anwendung Sep 23 09:01:38 SRC= DST= DPT=80 Sep 23 09:01:41 SRC= DST= DPT=80 Sep 23 09:49:23 SRC= DST= DPT=80 Sep 23 09:49:25 SRC= DST= DPT=80 Sep 23 10:03:13 SRC= DST= DPT=80 Sep 23 10:25:38 SRC= DST= DPT=22 Sep 23 10:37:52 SRC= DST= DPT=80 Sep 23 10:37:55 SRC= DST= DPT=80 Sep 23 14:44:32 SRC= DST= DPT=80 Sep 23 15:07:44 SRC= DST= DPT=80 Sep 23 15:07:47 SRC= DST= DPT=80 Sep 23 16:22:48 SRC= DST= DPT=23 Sep 23 16:22:51 SRC= DST= DPT=23 Sep 23 16:25:57 SRC= DST= DPT=21 Sep 23 16:26:00 SRC= DST= DPT=21 Sep 23 17:26:15 SRC= DST= DPT=80 Sep 23 17:26:31 SRC= DST= DPT=80 Sep 23 17:26:56 SRC= DST= DPT=80 ETH Zurich The Communication Systems Group NSHS07H

9 Hardware-Plattform PC-Architektur ETH Zurich The Communication Systems Group NSHS07H

10 PC-Architektur Quelle: ETH Zurich The Communication Systems Group NSHS07H

11 Mainboard der GCT-Allwell Set-Top Box ETH Zurich The Communication Systems Group NSHS07H

12 Front ETH Zurich The Communication Systems Group NSHS07H

13 Rückseite ETH Zurich The Communication Systems Group NSHS07H

14 Photo Taskrunner ETH Zurich The Communication Systems Group NSHS07H

15 Front ETH Zurich The Communication Systems Group NSHS07H

16 Rückseite ETH Zurich The Communication Systems Group NSHS07H

17 Konzeptueller Aufbau eines Unix-Betriebssystems ETH Zurich The Communication Systems Group NSHS07H

18 Inhalt eines DOS MBR Bytes assuming master primary hd 446 Bootstrap code 16 /dev/hda1 partition info 16 /dev/hda2 partition info 16 /dev/hda3 partition info 16 /dev/hda4 partition info 2 Signature 512 Total ETH Zurich The Communication Systems Group NSHS07H

19 Bootvorgang Lesen des Bootblocks des Boot-Mediums durch BIOS Enthält Bootstrap-Code & weitere Info, z.b. ein DOS MBR DOS-Master Boot Record (MBR) 446 Bytes Bootstrap-Code Partitionstabelle Bootstrap-Code sucht nach der Partition, die als bootbar markiert ist und liest den Boot-Record dieser Partition In unserem Fall: Syslinux-Bootstrap-Loader ( Führt ldlinux.sys aus Dieses liest Konfigurationsfile syslinux.cfg Linux kernel (File linux ) wird geladen ETH Zurich The Communication Systems Group NSHS07H

20 Bootvorgang II Damit Kernel arbeiten kann, muss ein Root-Filesystem vorhanden sein Wird als initial ramdisk (initrd) bereitgestellt Image in initrd.lrp Als minix-filesystem dargestellt, in eine Ramdisk geladen (RAMDISK driver) Bootloader teilt dem Kernel mit, wo das Root-Filesystem liegt (via root=/dev/ram0 in syslinux.cfg) Anschliessend wird /linuxrc gestartet (oft ein Skript) Linuxrc bereitet ein neues, definitives Root-Filesystem vor Lädt den Inhalt von initrd.lrp noch einmal root.lrp und alle weiteren Packages (gem. syslinux.cfg oder leaf.cfg) ETH Zurich The Communication Systems Group NSHS07H

21 Bootvorgang III Kernel startet in runlevel 1 Es werden alle Skripts in /etc/rc1.d ausgeführt Start der Systemprozesse System wird in runlevel 2 versetzt (normaler Betriebszustand für Bering) Es werden alle Skripts in /etc/rc2.d ausgeführt Start der Anwendungsprozesse U.a. warten getty-prozesse auf interaktive Benutzer Login lrcfg wird als shell gestartet ETH Zurich The Communication Systems Group NSHS07H

22 Der Boot-Prozess von Bering A guided tour ETH Zurich The Communication Systems Group NSHS07H

23 Praktikumsinfrastruktur Praktikumsserver Tftp-serverfür das Booten der Taskrunnerüber das Netz Samba-serverfür das Laden des Basissystems und der Bering- Packages Pro 2-er-Gruppe 1 Taskrunner 2 PCs 1 Hub Zugang zum Netz Optional: Aufbau eines Firewall zum Eigengebrauch, Plattform: pc-engines alix: ETH Zurich The Communication Systems Group NSHS07H