Complementos de Redes de Computadores

Transcrição

1 Instituto Superior de Engenharia de Lisboa Departamento de Engenharia de Electrónica e Telecomunicações e de Computadores Complementos de Redes de Computadores Enunciado do trabalho - Semestre de Inverno de 2005/2006 Data limite de entrega do relatório do trabalho: 6 de Fevereiro de 2006 Docente: Vítor Almeida Objectivo Consolidar e integrar os conhecimentos adquiridos ao longo das várias disciplinas de Redes de Comunicação de Dados anteriores a CRC, aprofundando-os com a abordagem de novos tópicos, nomeadamente: Redes wireless IEEE 802.1X RADIUS SNMP Mobile IP Listas de acesso e modulação de tráfego VPNs Segurança outros. Router 1700 Rede do ISEL /24 Switch 2950 Pretende-se dar liberdade aos alunos para, utilizando os equipamentos disponíveis, explorarem na prática as tecnologias neles disponíveis de forma a delas AP 1100/1200 tirarem o melhor proveito em termos PC de funcionalidade e de segurança. É pressuposto que os conhecimentos de Redes, adquiridos nas disciplinas anteriores, lhes PC c/ WLAN permitirão evoluir nas tecnologias estudadas nesta disciplina. Estas tecnologias estão, algumas delas, ainda em fase de início de exploração comercial. Cada grupo implementará uma rede baseada no seguinte equipamento: Router 1700 Switch 2950 AP Cisco Aironet 1100/1200 Placa wireless PCs 24/10/ :48:59 1/14

2 A rede Interna [endereço a atribuir a cada grupo - ver anexo], incluindo as VLANs que cada grupo considerar necessárias, é suportada pelo switch. Como à rede Pública [ /24] devem ser utilizadas as fichas de rede ao nível das mesas. Como rede Exterior [ /24] devem ser utilizadas as fichas de rede da calha junto ao chão (a máquina da rede Exterior a usar para testes pode e deve ser partilhada por todos os grupos). Podem ainda ser usados os servidores do ISEL noutras redes como pertencendo a redes externas. O router que interliga as redes Pública e Exterior é um dos routers da rede do ISEL. A rede do ISEL utiliza OSPF estando as redes do laboratório englobadas na área 3. A password para autenticação OSPF é simples. Com o material referido pretende-se que os alunos possam ir evoluindo ao longo do semestre, em aulas práticas e fora delas, de maneira a irem experimentando as várias tecnologias até consolidarem o trabalho na solução porque optarem de maneira a que a rede obedeça aos seguintes requisitos mínimos: Suporte de utilizadores diferenciados com necessidades e direitos diferentes no acesso à rede informática; Acessos seguros, quer via Access Points, quer via portas do switch; Acessos remotos seguros via VPNs; Implementar as medidas de segurança que impeçam ataques, mantendo uma funcionalidade razoável para o objectivo a atingir por cada uma das redes (VLANs); Optimização do tráfego face às características a definir para cada uma das VLANs. VLANs estas que devem suportar necessidades distintas como, por exemplo: o Desmilitarizada (DMZ) o Administrativa o Contabilidade/tesouraria o Funcionários com Internet o Funcionários sem Internet o Clientes o Outras que considere necessárias, por exemplo, era interessante ser possível a gestão inband (via telnet/snmp) dos equipamentos envolvidos, através de uma VLAN à parte. Em que, por exemplo: o As redes DMZ e Administrativa não devem ter acesso via WLAN; o A rede DMZ ver tabela de restrições mínimas em anexo - seria aquela onde irão residir os nossos servidores com acesso do exterior (Web, Mail, Proxys, etc.). o As redes administrativa, contabilidade e tesouraria são as redes que têm de ser muito seguras, não deve ser dado acesso à Internet, ao correio electrónico, a FTP, Telnet, etc., para evitar a entrada de virús, worms, etc. assim como para manter à distância os utilizadores indesejados. São as redes onde iriam residir os servidores internos de suporte à secretaria, à tesouraria, à contabilidade, etc. Pode-se dar a possibilidade de criação duma VPN para acesso remoto aos servidores de maneira a permitir a manutenção remota; o Para as restantes redes deve ser decidida qual a politica a seguir para cada uma, podendo mesmo existir modelação de tráfego (opcional) conforme os protocolos e as origens do tráfego. Estas opções devem ser todas devidamente justificadas; 24/10/ :48:59 2/14

3 o Os endereços IP a utilizar devem ser duma gama privada. Deve ser utilizado NAT para resolver a limitação de endereços IP nas várias VLANs, assumindo que cada uma delas deve poder suportar 100 máquinas; o Todas as máquinas devem poder obter endereços IP a partir do servidor de a implementar. Deve ser possível aceder via SNMP aos equipamentos. Este acesso deve ser tão seguro quanto possível. Para além dos comandos do IOS para testes, com especial evidência para o debug e o show, utilize ferramentas como: Ping Trace Iperf Ethereal Outras ao seu critério para testar as soluções de rede que implementar. O relatório final deve incluir as configurações e os testes e respectivos resultados que efectuar em cada fase para comprovar que o seu trabalho funciona como esperado. Resolva cada etapa/fase do trabalho com papel e lápis antes da aula prática. Utilize a bibliografia aconselhada como suporte para a execução do trabalho. Não vá para o laboratório martirizar os equipamentos e a si, assim como aos docentes, numa atitude de tentativa e erro. 24/10/ :48:59 3/14

4 Etapas/fases para a realização do trabalho As etapas, ou fases, que a seguir se indicam devem servir como orientação para a evolução do trabalho. Os alunos têm a liberdade de alterarem a sequência do trabalho se assim o entenderem útil, devendo dessa decisão darem conhecimento ao docente. 1ª fase - Montagem do router e sua configuração de maneira a suportar OSPF e a integrar-se na área 3 da rede do ISEL. A sua tabela de encaminhamento deve reflectir os caminhos para as outras redes. As máquinas na rede interna devem poder obter informações necessárias ao seu funcionamento a partir do servidor do ISEL ( relay). A configuração da interface do router com a rede do ISEL deve ser obtida a partir do servidor de do ISEL. Uma máquina da rede interna deve conseguir comunicar com qualquer outra máquina noutra rede qualquer. Ligar o router Cisco 1700 à rede do ISEL através de uma das interfaces Ethernet e conseguir, a partir dum PC ligado à outra interface Ethernet do router, aceder à pagina web do ISEL. 1. Relembrar o IOS. 2. Escolha de qual das interfaces Ethernet do router (Ethernet ou Fast Ethernet) utilizar para ligação à rede do ISEL e qual utilizar para a rede interna. 3. Escolha dos endereços IP e encaminhamento. 4. Configuração do router para suportar o proxy agent. 5. OSPF básico. 2ª fase Configurar o router de maneira a ser ele a fornecer os endereços e restante configuração por. Configurar o router de maneira a suportar NAT. A mesma que a fase anterior mas o endereço do PC deve agora ser fornecido pelo router (servidor local). 1. Continuam os problemas com o endereçamento, piores devido à utilização de NAT. 2. Problemas com o endereço das interfaces do router. 3. configuração do servidor de no router. 4. Configuração do NAT no router. 3ª fase - Ligação do switch 2950 ao router Configurá-los de maneira a permitir a comunicação a partir de qualquer das portas dos switch com máquinas exteriores e entre quaisquer das suas portas. ISEL. Ligar um PC a qualquer uma das portas do switch e conseguir aceder à página web do 1. Para além de algumas demoras na configuração do switch esta fase costuma ser relativamente pacífica. 2. Endereço IP do switch. 24/10/ :48:59 4/14

5 4ª fase - Configuração do router 1700 e do switch 2950 para suportarem VLANs. Convém já ter definido as redes virtuais que irá necessitar e respectivas características em termos de acessos e de segurança, de maneira a estruturar as VLANs de acordo com o necessário. Definir as várias VLANs da maneira a que quando se ligue um PC a uma das portas do switch o PC seja associado a uma ou outra VLAN conforme a que for definida para as portas. 1. Escolha de quais as VLANs a utilizar. 2. Configuração das portas trunk no router e no switch. 3. Alterar o NAT e o servidor de de maneira a suportarem as várias VLANs. 4. Confusões com endereços agravados devido às VLANs. 5ª fase - Ligação, configuração e teste do Access Point - AP e da placa WLAN. Tenha em atenção a potência, o SSID e o canal a utilizar (ver nota abaixo). Ligar um PC via wireless ao AP que configurarem de maneira a conseguirem aceder a uma página web do servidor do ISEL. Nesta fase não necessitam preocupar-se com a segurança da ligação wireless. O objectivo é, sobretudo, perceber quais as potencialidades do AP. Devem explorar primeiro o AP através do seu browser e depois disso evoluir para o IOS como forma de configuração do equipamento. 1. No AP 1100 convencê-lo a não vos ignorar ao fim de alguns minutos após o ligarem. 2. Potencialidades do AP e respectiva configuração. 3. Endereços IP a utilizar no AP. 4. Configuração dos PCs para comunicarem com o vosso AP. 6ª fase - Configurar os equipamentos para que os utilizadores tenham acessos diferenciados, quer através do AP quer através das portas do switch. Ligar um PC via wireless ao AP ou directamente ao switch e ele poder ficar associado a uma VLAN diferente conforme a forma de ligação. 1. Configurar as VLANs no AP. 2. Ligações trunk. 7ª fase - Configuração do suporte de 802.1x e de RADIUS no switch da maneira a serem suportados clientes diferenciados por porta (VLANs distintas ver anexo). Ligar um PC via wireless ao AP ou directamente ao switch e ele ficar associado a uma VLAN diferente conforme o login e password introduzidos na autenticação. 1. Configurar o RADIUS no switch e no AP. 8ª fase - Configuração das listas de acesso de maneira a limitar o acesso entre as diversas VLANs e à rede exterior. Investir na optimização de tráfego e na segurança. Caso lhe falte inspiração nesta área pode consultar: 24/10/ :48:59 5/14

6 Implementar listas de acesso de maneira a limitar o acesso entre VLANs e entre estas e o exterior. 1. Abordagem em cima do joelho. 2. Má definição de funcionalidade de cada uma das VLANs e do que pode ou não fazer, do ponto de vista das comunicações, com as outras VLANs e com o exterior. 3. Confusão entre diferentes tipos de listas de acesso. 9ª fase - Configurar o SNMP nos equipamentos de maneira a permitir a sua gestão por SNMP. Gerir os equipamento a partir de um gestor SNMP. 1. Escolha do gestor SNMP 10ª fase - Configurar uma VPN entre um PC qualquer externo à rede implementada e um PC no interior da rede criada. 24/10/ :48:59 6/14

7 Avaliação Nota no trabalho = 60% trabalho/relatório + 40% discussão. Durante as aulas práticas de laboratório os alunos irão sendo avaliados pelo seu desempenho e assiduidade e essa avaliação ir-se-á também reflectir na nota da discussão. Relatório e discussão do trabalho O relatório do trabalho deve ser preciso e conciso, devendo incluir, para além da descrição das soluções por que optaram para atingirem os objectivos propostos, a forma como foram implementadas, quais os testes utilizados para validarem as respectivas soluções e quais os resultados obtidos. Os alunos devem preparar uma apresentação do trabalho a realizar durante a discussão, evidenciando os diversos assuntos envolvidos, com demonstrações dos diversos tópicos realizados. Os alunos na discussão final devem conseguir justificar todas as opções tomadas e realizar as alterações à configuração que lhe forem pedidas no momento. 24/10/ :48:59 7/14

8 Notas Apoio à realização dos trabalhos Antes de iniciar o trabalho deve informar o docente, dos nomes e números dos elementos do grupo (três no máximo), de modo a que seja dada a autorização de acesso ao laboratório e seja feita a distribuição de blocos de endereços a usar no trabalho (atribuição do número de grupo ver anexo). Para orientação e esclarecimento de dúvidas dos pontos obrigatórios e adicionais do trabalho deve ser consultado o docente da sua turma: o Vitor Almeida (valmeida@deetc.isel.ipl.pt) Para apoio a algum aspecto relacionado com manutenção de equipamentos/software do laboratório de RCD sugere-se ainda o contacto com os encarregados de trabalhos de Redes: o Nelson Costa (ncosta@deetc.isel.ipl.pt, ext: 2612) o Samuel Ribeiro (sribeiro@net.ipl.pt), ext: 2611) Local de realização dos trabalhos Deve ser usado, como local para a realização dos trabalhos, o laboratório de Redes (Lab. 1.2). Só deve permanecer no laboratório enquanto estiver a realizar o trabalho de RCD. Manipulação dos equipamentos Os alunos devem assumir a confiança que neles é depositada ao lhes serem confiados equipamentos de custo bastante elevado e cuidarem para que nada lhes aconteça, tomando cuidado na manipulação e instalação dos mesmos. Verifique sempre se o material que lhe é entregue, quando da requisição, é o que pediu e se está em boas condições. Caso detecte alguma anomalia contacte de imediato a funcionária e o seu docente. Especial atenção deve ser dada à ligação dos routers, dos APs 1200 e dos switches que, por possuírem portas RS232 (consola) e Ethernet com conectores idênticos, podem por ligação incorrecta sofrer danos elevados. Sugere-se que, para evitar este erro frequente, não seja desligado a cabo série RS232 de consola dos equipamentos. Cuidado com o tipo de cabo UTP (cruzado ou directo) utilizado para interligar o router à tomada da parede (na outra ponta tem um switch) e para ligar o router ao SW2950 e este aos PCs e ao AP. Os equipamentos não devem sair do departamento (edifício 5). Todos os sistemas partilhados estão sujeitos a apagamento indevido de dados, como tal devem ser realizados backups frequentes dos dados do trabalho como ficheiros de configuração, directorias com trabalhos, etc. Disponibilidade dos equipamentos Tenha em atenção que em breve os alunos de RC2 irão dar início aos seus trabalhos finais pelo que a disponibilidade dos routers e dos switches irá ser menor. No final do prazo a pressão sobre os equipamentos disponíveis será elevada, assim como sobre os postos de trabalho no laboratório pelo que, quanto mais depressa executar o trabalho, menos aborrecimentos terá com a disponibilidade do equipamento e posto de trabalho. 24/10/ :48:59 8/14

9 Cuidados a ter com o equipamento de wireless Os equipamentos wireless podem causar interferências na rede do ISEL e com os dos outros grupos do laboratório. Por esse motivo devem ser configurados de maneira a utilizarem a potência de emissão mínima (em OFDM e CCK). Preferencialmente deve tentar utilizar o canal 13, caso os equipamentos que utlizar (AP e placa WLAN) o permitam. Como alternativa de recurso use o canal 11. Devem ser utilizados SSIDs que não se confundam com os do ISEL, pelo que os SSIDs a utilizar devem ter a forma <CRC-ssid-grupon>, em que o n é o número do grupo. 24/10/ :48:59 9/14

10 Bibliografia Para a preparação deste trabalho prático deve consultar, entre outra, a seguinte bibliografia (os livros existem na biblioteca do ISEL) ou em PDF no caso dos manuais Cisco: [1] Joe Habraken, Pratical Cisco Routers, QUE, 1999 ; Este é interessante para para principiantes, o que não deve ser o caso dos alunos que fizeram RC2. Não é para ler de fio a pavio. Há vários capítulos que não interessam para o trabalho em questão. [2] Henry Benjamim, CCNP Practical Studies: Routing, Cisco Press, Abril 2002 ; muito interessante. [3] Sam Halabi, OSPF Design Guide, Cisco Systems, April, 1996 ; artigo da Cisco sobre OSPF (preciso e conciso, embora não pareça devido à dimensão do mesmo). [4] James Boney, Cisco IOS in a Nutshell, O Reilly, 2002 ; muitas dúvidas podem ser minoradas através da consulta deste livro. [5] Cisco 1700 Series Router Software Configuration Guide. [6] Catalyst 2950 Desktop Switch Software Configuration Guide. [7] Cisco IOS Software Configuration Guide for Cisco Aironet Access Points". [8] Jeff Sedayao, Cisco IOS Access Lists, O'Reilly ; Listas de acesso. Para além das anteriores referências existem na biblioteca do ISEL muitos outros livros sobre redes que o podem ajudar e que deve consultar. Não descure a pesquisa na Internet, sobretudo nos sites dos fabricantes, nomeadamente: /10/ :48:59 10/14

11 Anexo 1 Exemplo da(s) tabela(s) que deve criar para definir o tráfego entre as várias VLANs que definir e entre estas e o exterior: Filtragem mínima do tráfego entre VLANs interiores, DMZ e rede externa Destinos Servidores disponíveis Protocolos/Aplicações DMZ Externa Externa Tracert (TraceRoute) <-> -> / smtp.net.ipl.pt HTTP X -> FTP (modo activo) -> -> psa.net.ipl.pt (ver como activar acesso em: ) IP <-> X Legenda: X Protocolo não pode ser estabelecido -> Protocolo pode ser estabelecido na direcção indicada <-> Protocolo pode ser estabelecido em ambas as direcções Nota: A filtragem acima referida é apenas um exemplo. 24/10/ :48:59 11/14

12 Anexo 2 Endereços a utilizar no trabalho por cada grupo Grupo Endereço exterior (Rede /24) Endereço interior do router (Máscara /28) Configuração OSPF Área 3 Nº de série de chave 4 Password simples Tipo de autenticação message digest md5 Referência para Custos Mbit/s 24/10/ :48:59 12/14

13 Configuração DNS Endereço do router do ISEL Servidor /10/ :48:59 13/14

14 ANEXO 3 Utilização de RADIUS para autenticação 802.1x e EAP RADIUS - Remote Authentication Dial-In User Service IETF - Internet Engineering Task Force RFC - Request for Comments EAP - Extensible Authentication Protocol (RFC 2284) RADIUS é um sistema distribuído com topologia cliente/servidor. Este é utilizado para autorizar o acesso de utilizadores a um sistema ou serviço. É uma norma proposta pelo IETF no RFC Os valores abaixo são provisórios dado o servidor de RADIUS estar a ser alterado. Informe-se junto do docente sobre a validade dos dados fornecidos. Assim que o novo servidor estiver disponível este enunciado será alterado. Dados necessários para que o cliente RADIUS funcione: servidores RADIUS Portos: AUTH: 1645 ACCT: 1646 chave de acesso simples O servidor de RADIUS fornece um atributo que permite aos clientes associar os utilizadores a uma determinada VLAN. Estão definidas 3 VLANs, cada uma com um nome de utilizador diferente e palavra passe comum. As VLANs utilizadas são: 2, 3 e 4. Informação de acesso: utilizadores sem VLAN rcdlabs VLAN 2 rcdlabs-vlan2 VLAN 3 rcdlabs-vlan3 VLAN 4 rcdlabs-vlan4 chave de acesso simples Informação sobre configurações 802.1x com RADIUS nos equipamentos AP1100/1200 e Cat2950: 5ja/i12215sc/s15vlan.htm 5ja/i12215sc/s15auth.htm 5ja/i12215sc/s15radi.htm 24/10/ :48:59 14/14