Complementos de Redes de Computadores

Transcrição

1 Instituto Superior de Engenharia de Lisboa Departamento de Engenharia de Electrónica e Telecomunicações e de Computadores Complementos de Redes de Computadores Enunciado do trabalho - Semestre de Inverno 2004/2005 Data limite de entrega do trabalho: 9 de Janeiro de 2005 Objectivo Consolidar e integrar os conhecimentos adquiridos ao longo das várias disciplinas de Redes de Comunicação de Dados anteriores a CRC, aprofundando-os com a abordagem de novos tópicos, nomeadamente: Redes wireless IEEE 802.1X RADIUS SNMP IPv6 Mobile IP Listas de acesso e modulação de tráfego Segurança outros. Pretende-se dar liberdade aos alunos para, utilizando os equipamentos disponíveis, explorarem na prática as tecnologias neles disponíveis de forma a delas tirarem o melhor proveito em termos de funcionalidade e de segurança. É pressuposto que os conhecimentos de Redes, adquiridos em RC1 e RC2, lhes permitirão evoluir nas tecnologias estudadas Router 1700 nesta disciplina. Estas tecnologias estão, algumas delas, ainda em fase de início de exploração comercial. Rede do ISEL /24 Cada grupo implementará uma rede baseada no seguinte equipamento: Switch 2950 Router 1700 Switch 2950 AP Cisco Aironet 1100/1200 Placa wireless PCs AP 1100/1200 PC PC c/ WLAN

2 A rede Interna [endereço a atribuir a cada grupo - ver anexo] é suportada pelo switch incluindo as VLANs que cada grupo considerar necessárias. Como à rede Pública [ /24] devem ser utilizadas as fichas de rede ao nível das mesas. Como rede Exterior [ /24] devem ser utilizadas as fichas de rede da calha junto ao chão (a máquina da rede Exterior a usar para testes pode e deve ser partilhada por todos os grupos). Podem ainda ser usados os servidores do ISEL noutras redes como pertencendo a redes externas. O router que interliga as redes Pública e Exterior é um dos routers da rede do ISEL. A rede do ISEL utiliza OSPF estando as redes do laboratório englobadas na área 3. A password para autenticação OSPF é simples ver anexo. Com o material referido pretende-se que os alunos possam ir evoluindo ao longo do semestre, em aulas práticas e fora delas, de maneira a irem experimentando as várias tecnologias até consolidarem o trabalho na solução porque optarem de forma a que a rede obedeça aos seguintes requisitos mínimos: Suporte de utilizadores diferenciados com necessidades e direitos diferentes no acesso à rede informática; Acessos seguros, quer via Access Points, quer via portas do switch; Implementar as medidas de segurança que impeçam ataques, mantendo uma funcionalidade razoável para o objectivo a atingir por cada uma das redes (VLANs); Optimização do tráfego face às caracteristicas a definir para cada uma das VLANs. VLANs estas que devem suportar necessidades distintas como, por exemplo: o Desmilitarizada (DMZ) o Administrativa o Contabilidade/tesouraria o Funcionários com Internet o Funcionários sem Internet o Clientes o Outras que considere necessárias, por exemplo, era interessante ser possível a gestão inband (via telnet) dos equipamentos envolvidos, numa vlan à parte, com comunicações controladas pelo router. Em que: o As redes DMZ e Administrativa não devem ter acesso via WLAN; o A rede DMZ ver tabela de restrições mínimas em anexo - seria aquela onde irão residir os nossos servidores (Web, Mail, Proxys, etc.). Deve ser tão protegida do exterior como do interior; o As redes administrativa, contabilidade e tesouraria são as redes que têm de ser muito seguras, não deve ser dado acesso à Internet, ao correio electrónico, a FTP, Telnet, etc., para evitar a entrada de virús, worms, assim como para manter à distância os utilizadores indesejados. São as redes onde iriam residir os servidores de suporte à secretaria, à tesouraria, à contabilidade, etc. Pode-se dar a hipótese de criação duma VPN para acesso remoto aos servidores de maneira a permitir a manutenção remota (opcional ver enunciado do semestre anterior de RC2);

3 o Para as restantes redes deve ser decidida qual a politica a seguir para cada uma, podendo mesmo existir modelação de tráfego (opcional) conforme os protocolos e as origens do tráfego. Estas opções devem ser todas devidamente justificadas; o Os endereços IP a utilizar devem ser duma gama privada. Deve ser utilizado o NAT para resolver a limitação de endereços IP nas várias VLANs, assumindo que cada uma delas deve suportar, no mínimo, 150 máquinas; o Todas as máquinas devem poder obter endereços IP a partir de. Deve ser possível aceder via SNMP aos equipamentos. Este acesso deve ser tão seguro quanto possível. Configurar a rede de maneira a possibilitar a utilização de IPv6. Para além dos comandos do IOS para testes, com especial evidência para o debug e o show, utilize ferramentas como: Ping Trace Iperf Ethereal Outras ao seu critério para testar a rede que implementar. Resolva cada etapa/fase do trabalho com papel e lápis antes de passar à prática. Utilize a bibliografia aconselhada como suporte para a execução do trabalho. Não vá para o laboratório martirizar os equipamentos e a si, assim como aos docentes, numa atitude de tentativa e erro.

4 Etapas/fases aconselhadas para a realização do trabalho As etapas, ou fases, que a seguir se indicam devem servir como orientação para a evolução do trabalho. Os alunos têm a liberdade de alterarem a sequência do trabalho se assim o entenderem útil, devendo dessa decisão dar conhecimento ao docente. 1ª fase - Montagem do router e sua configuração de maneira a suportar OSPF e a integrar-se na área 3 da rede do ISEL. A sua tabela de encaminhamento deve reflectir os caminhos para as outras redes. Uma máquina da rede interna deve conseguir comunicar com qualquer outra máquina noutra rede qualquer. As máquinas na rede interna devem poder obter informações necessárias ao seu funcionamento a partir do servidor do ISEL ( relay). 2ª fase - Ligação do switch 2950 ao router Configurá-lo de maneira a permitir a comunicação a partir de qualquer das suas portas com máquinas exteriores. Configurar o switch de maneira a evitar tráfego desnecessário dada a configuração actual. Configuração do router 1700 e do switch 2950 para suportarem VLANs. O router deve passar a ser ele a fornecer os endereços e restante configuração por. Configurar o router de maneira a suportar NAT. 3ª fase - Configuração mínima das listas de acesso de maneira a limitar o acesso entre as diversas VLANs e à rede exterior, deve investir mais neste assunto na fase 7. 4ª fase - Configuração do suporte de 802.1x e de RADIUS no switch da maneira a serem suportados clientes diferenciados por porta (VLANs distintas). 5ª fase - Ligação, configuração e teste do Access Point - AP e da placa WLAN. Tenha em atenção a potência, o SSID e o canal a utilizar (ver nota abaixo). 6ª fase - Configurar os equipamentos para que os utilizadores tenham acessos diferenciados, quer através do AP quer através das portas do switch. 7ª fase - Investir na optimização de tráfego e na segurança. Caso lhe falte inspiração nesta área pode consultar: C2/fichas-projectos/TrabalhoFinal%20-%202a%20Parte%20- %20Seguran%E7a.pdf 8ª fase - Configurar o SNMP nos equipamentos de maneira a permitir a sua gestão por SNMP. 9ª fase - Configurar os equipamentos para permitirem a utilização de IPv6.

5 Avaliação Nota no trabalho = 60% trabalho/relatório + 40% discussão. Durante as aulas práticas de laboratório os alunos irão sendo avaliados pelo seu desempenho e essa avaliação ir-se-á também reflectir na nota da discussão. Relatório e discussão do trabalho O relatório do trabalho deve ser preciso e conciso, devendo incluir, para além da descrição das soluções por que optaram para atingirem os objectivos propostos, a forma como foram implementadas, quais os testes utilizados para validarem as respectivas soluções e quais os resultados obtidos. Os alunos devem preparar uma apresentação do trabalho a realizar durante a discussão, evidenciando os diversos assuntos envolvidos, com demonstrações dos diversos tópicos realizados. Os alunos na discussão final devem conseguir justificar todas as opções tomadas e realizar as alterações à configuração que lhe forem pedidas.

6 Notas Apoio à realização dos trabalhos Antes de iniciar o trabalho deve informar o docente, dos nomes e números dos elementos do grupo (três no máximo), de modo a que seja dada a autorização de acesso ao laboratório e seja feita a distribuição de blocos de endereços a usar no trabalho (atribuição do número de grupo ver anexo). Para orientação e esclarecimento de dúvidas dos pontos obrigatórios e adicionais do trabalho deve ser consultado o docente da sua turma: o Vitor Almeida (valmeida@deetc.isel.ipl.pt) Para apoio a algum aspecto relacionado com manutenção de equipamentos/software do laboratório de RCD sugere-se o contacto com os encarregados de trabalhos de Redes: o Nelson Costa (ncosta@deetc.isel.ipl.pt, ext: 2612) o Samuel Ribeiro (sribeiro@net.ipl.pt), ext: 2611) Local de realização dos trabalhos Deve ser usado, como local base para a realização dos trabalhos, o laboratório de Redes (Lab. 1.2). Só deve permanecer no laboratório enquanto estiver a realizar o trabalho de RCD. Manipulação dos equipamentos Os alunos devem assumir a confiança que neles é depositada ao lhes serem confiados equipamentos de custo bastante elevado e cuidarem para que nada lhes aconteça, tomando cuidado na manipulação e instalação dos mesmos. Verifique sempre se o material que lhe é entregue, quando da requisição, é o que pediu e se está em boas condições. Caso detecte alguma anomalia contacte de imediato a funcionária e o seu docente. Especial atenção deve ser dada à ligação dos routers e dos switches que, por possuírem portas RS232 (consola) e Ethernet(10baseT) com conectores idêntico, podem por ligação incorrecta sofrer danos elevados. Sugere-se que, para evitar este erro frequente, não seja desligado a cabo série RS232 de consola dos equipamentos. Cuidado com o tipo de cabo UTP (cruzado ou directo) utilizado para interligar o router à tomada da parede (na outra ponta tem um switch) e para ligar o router ao SW2950 e este aos PCs. Os equipamentos não devem sair do departamento (edifício 5). Todos os sistemas partilhados estão sujeitos a apagamento indevido de dados, como tal devem ser realizados backups frequentes dos dados do trabalho como ficheiros de configuração, directorias com trabalhos, etc. Disponibilidade dos equipamentos Tenha em atenção que em breve os alunos de RC2 irão dar início aos seus trabalhos finais pelo que a disponibilidade dos routers e dos switches irá ficar mais comprometida. No final do prazo a pressão sobre os equipamentos disponíveis será elevada, assim como sobre os lugares de trabalho no laboratório, pelo que quanto mais depressa executar o trabalho menos aborrecimentos terá com a disponibilidade do equipamento.

7 Cuidados a ter com o equipamento de wireless Os equipamentos wireless podem causar interferências na rede do ISEL e com os dos outros grupos do laboratório. Por esse motivo devem ser configurados de maneira a utilizarem a potência de emissão mínima (em OFDM e CCK). Preferencialmente deve tentar utilizar o canal 13, caso os equipamentos que utlizar (AP e placa WLAN) o permitam. Como alternativa de recurso use o canal 11. Devem ser utilizados SSIDs que não se confundam com os do ISEL, pelo que os SSIDs a utilizar devem ter a forma <CRC-ssid-grupon>, em que o n é o número do grupo.

8 Bibliografia Para a preparação deste trabalho prático deve consultar, entre outra, a seguinte bibliografia (os livros existem na biblioteca do ISEL) ou em PDF, no caso dos manuais Cisco: [1] Henry Benjamim, CCNP Practical Studies: Routing, Cisco Press, Abril 2002 ; muito interessante. [2] Sam Halabi, OSPF Design Guide, Cisco Systems, April, 1996 ; artigo da Cisco sobre OSPF (preciso e conciso, embora não pareça devido à dimensão do mesmo). [3] James Boney, Cisco IOS in a Nutshell, O Reilly, 2002 ; muitas dúvidas podem ser minoradas através da consulta deste livro. [4] Cisco 1700 Series Router Software Configuration Guide. [5] Catalyst 2950 Desktop Switch Software Configuration Guide. [6] Cisco IOS Software Configuration Guide for Cisco Aironet Access Points". [7] Jeff Sedayao, Cisco IOS Access Lists, O'Reilly ; Listas de acesso. [8] Joe Habraken, Pratical Cisco Routers, QUE, 1999 ; Este é interessante para para principiantes, o que não deve ser o caso dos alunos que fizeram RC2. Para além das anteriores referências existem na biblioteca do ISEL muitos outros livros sobre redes que o podem ajudar e que deve consultar. Não descure a pesquisa na Internet, sobretudo nos sites dos fabricantes, nomeadamente: LIST_ARP_BOOT_ LIST_ARP_BOOT_

9 Complementos de Redes de Computadores Semestre de Inverno 2004/2005 Enunciado do trabalho Anexo 1 Filtragem mínima do tráfego entre VLANs interiores, DMZ e rede externa Destinos Servidores disponíveis Protocolos/Aplicações DMZ Externa Externa Tracert (TraceRoute) <-> -> / smtp.net.ipl.pt HTTP X -> FTP (modo activo) -> -> psa.net.ipl.pt (ver como activar acesso em: ) IP <-> X Legenda: X Protocolo não pode ser estabelecido -> Protocolo pode ser estabelecido na direcção indicada <-> Protocolo pode ser estabelecido em ambas as direcções Nota: A filtragem acima aconselhada pode ser alterada se devidamente justificada. 13/10/ :21:30 9/12

10 Complementos de Redes de Computadores Semestre de Inverno 2004/2005 Enunciado do trabalho Endereços a utilizar no trabalho por cada grupo Grupo Endereço exterior (Rede /24) Endereço interior do router (Máscara /28) Configuração OSPF Área 3 Nº de série de chave 4 Password simples Tipo de autenticação message digest md5 Referência para Custos 1000 Mbit/s Configuração DNS /10/ :21:30 10/12

11 Complementos de Redes de Computadores Semestre de Inverno 2004/2005 Enunciado do trabalho Endereço do router do ISEL Servidor /10/ :21:30 11/12

12 Complementos de Redes de Computadores Semestre de Inverno 2004/2005 Enunciado do trabalho ANEXO 2 Utilização de RADIUS para autenticação 802.1x e EAP RADIUS - Remote Authentication Dial-In User Service IETF - Internet Engineering Task Force RFC - Request for Comments EAP - Extensible Authentication Protocol (RFC 2284) RADIUS é um sistema distribuído com topologia cliente/servidor. Este é utilizado para autorizar o acesso de utilizadores a um sistema ou serviço. É uma norma proposta pelo IETF no RFC São necessários os seguintes dados para que o cliente RADIUS funcione servidores RADIUS Portos: AUTH: 1645 ACCT: 1646 chave de acesso simples O servidor de Radius fornece um atributo que permite aos clientes associar os utilizadores a uma determinada VLAN. Estão definidas 3 VLANs, cada uma com um nome de utilizador diferente e palavra passe comum. As VLANs utilizadas são: 2, 3 e 4. Informação de acesso utilizadores sem VLAN VLAN 2 VLAN 3 VLAN 4 chave de acesso rcdlabs rcdlabs-vlan2 rcdlabs-vlan3 rcdlabs-vlan4 simples Informação sobre configurações 802.1x com RADIUS nos equipamentos AP1100/1200 e Cat2950: /s15vlan.htm /s15auth.htm /s15radi.htm 13/10/ :21:30 12/12