LDAP - Tópicos. O que é um Diretório? Introdução. História do LDAP. O que é o LDAP? 5/22/2009

Transcrição

1 LDAP - Tópicos Leoncio Regal Dutra Mestre em Engenharia Elétrica Telecomunicações leoncioregal@gmail.com Introdução Definições Funcionamento Segurança Otimizações do LDAP Exemplos Conclusão 2 Introdução O que é um Diretório? O que é um diretório? O que é o LDAP? História do LDAP Origem do LDAP Protocolo X.500 Cliente do X.500 DAP Pilha de protocolos Versões Por que usar o LDAP? Diretório LDAP 3 O que é um diretório? É um banco de dados especializado com informações descritivas baseadas em atributos e organizadas em forma de árvore. Característica de um diretório: Resposta rápida a grande quantidade de consultas. Tipos de diretórios: De aplicações: diretório do MS Exchange, etc. De sistemas operacionais de rede: NIS (Sun), AD (Microsoft) De propósito específico: DNS De propósito geral: LDAP 4 O que é o LDAP? História do LDAP Lightweight Directory Access Protocol Protocolo Leve de Acesso a Diretórios. Trabalha na camada de aplicação da pilha de protocolos TCP/IP, como por exemplo o SMTP, HTTP, FTP, TELNET e tantos outros. RFCs e 3377 Cliente-Servidor. Orientado a mensagens X.500 A CCITT (atual ITU) cria a versão Standard X.500, ISO 9594 Data Communications Network Directory DAS: Directory Assistance Service (RFC 1202) DIXIE: Protocol Specification (RFC1249) LDAP: X.500 Lightweight Access Protocol (RFC 1487) LDAP (RFC 1777) LDAP v2 LDAP v3 (RFC 3377) 5 6 1

2 Origem do LDAP Diretórios X.500 Origem do LDAP Cliente do X.500 Características Principais do X.500 Conexão de Serviços de Diretórios locais a fim de formar um diretório global distribuído. Parte do diretório fica global e sua informação é disponibilizada através de um Agente do Sistema de Diretórios O LDAP foi desenvolvido para ser um cliente para o X.500, o serviço de Diretório OSI. O X.500 define o Protocolo de Acesso a Diretório (DAP) para os clientes usarem quando estiverem em contato com servidores de Diretório. Trabalha com funções de gerenciamento, isto é, adição, modificação e deleção de entradas Origem do LDAP - DAP O DAP era um protocolo difícil de trabalhar e implementar, e protocolos mais fáceis foram desenvolvidos com a maior parte de sua funcionalidade, mas com muito menos complexidade. Origem do LDAP Pilha de Protocolos O LDAP roda diretamente sobre o TCP e fornece a maioria das funcionalidades do DAP, a um custo muito menor Origem do LDAP Versões Por que usar o LDAP? Versões LDAP 1993 primeira versão 1996 LDAP v2 Autenticação forte com Kerberos v LDAP v3 (atual) Esta última foi desenvolvida para solucionar uma série de limitações existentes na anterior, incluindo aspectos de segurança, passando a suportar protocolos de autenticação forte como o Simple Authentication Security Layer (SASL) e o Transport Layer Security (TLS) 11 Integração entre sistemas Operacionais Interligação ( Windows, Linux, Unix, MacOS) Integração entre Serviços Serviços de , FTP, Web etc. Desempenho nas consultas: Desenvolvido com ênfase na leitura, ou seja, os dados serão lidos rapidamente por um número maior de consultas simultâneas. Difundido no mercado Não requer hardware pesado para operações 12 2

3 Por que usar o LDAP? Diretório LDAP Representação gráfica de parte de um diretório LDAP: Funcionamento Operação do protocolo LDAP Recebimento de uma única entrada (Pesquisa) Recebimento de várias entradas(pesquisa) Requisição de várias operações Requisição de várias operações Tipos de operações do LDAP Troca completa de mensagens entre Cliente e Servidor Combinação de simples operações Tarefa complexa Operação do protocolo LDAP Recebimento de uma única entrada: Caso o LDAP Server ache apenas um valor para a operação de Search realizada, esse valor é retornado. Na requisição, o cliente envia um ID único (msgid). Esse ID é usado nas respostas para identificar as mensagens Operação do protocolo LDAP Recebimento de várias entradas: Caso o LDAP Server ache diversos valores para a operação de Search realizada, eles são retornados em mensagens separadas. Cada entrada retornada tem um nome único chamado de distinguished name (DN). Operação do protocolo LDAP Requisição de várias operações: Como o LDAP é orientado a mensagem, é possível realizar diversas operações ao mesmo tempo. Isto torna o protocolo mais flexível e eficiente, pois não há a necessidade de esperar uma resposta do server antes de realizar outra operação, como no HTTP

4 Operação do protocolo LDAP Tipos de operações do LDAP, divididas em 3 classes: Operações de pergunta: Search Compare Operações de atualização: Add Delete Modify Modify DN (Rename) Operações de autenticação e controle: Bind (Cliente se autentica com o Servidor) Unbind (Cliente termina sessão com o Servidor) Abandon (Cliente não está mais interessado nas respostas da requisição anteriormente enviada) Operação do protocolo LDAP Troca completa de mensagens entre Cliente e Servidor: Operação do protocolo LDAP A combinação de simples operações podem realizar tarefas complexas, exemplo: Segurança A Segurança no LDAP Métodos de Autenticação Método de Criptografia Transport Layer Security LDAP usando SASL com SSL/TLS Comunicação pela Internet Modelo de Controle de Acesso A Segurança no LDAP Protegendo informações de acessos indevidos: Autenticação. LDAP, só autenticação simples (texto aberto) LDAPv2, autenticação ti simples e pode utilizar Kerberos v4 e v5 LDAPv3, utiliza framework SASL (Simple Authentication and Security Layer) múltiplos mecanismos de autenticação Transmissão de dados segura (criptografia). Modelos de controle de acesso. Métodos de Autenticação LDAPv3: métodos de autenticação definidos na RFC 2829 (Authentication Methods for LDAP). Nessa RFC, os servidores foram quebrados em 3 grupos: Servidores LDAP públicos Somente-leitura (permitem login anônimo, sem senha). Servidores com autenticação usando senhas (usa mecanismo SASL DIGEST-MD5). Servidores com autenticação e criptografia de dados (usa StartTLS para camada de transporte segura e certificados com chaves públicas para autenticação de ambos os lados)

5 Método de Criptografia Transport Layer Security (TLS) TLS proporciona: Autenticidade, Integridade e Criptografia de dados Clientes que usam TLS na comunicação: Suas mensagens não serão decifradas caso sejam capturadas. Suas mensagens não serão alteradas (homem do meio) Podem autenticar o servidor (usando certificados com chaves públicas) Podem verificar a autenticidade de servidores nos quais ele já está conectado (usando certificados com chaves públicas) Método de Criptografia LDAP usando SASL com SSL/TLS Método de Criptografia Modelo de Controle de Acesso Define os direitos de acesso as informações do diretório para cada usuário ou grupo: Ex: Somente leitura de nomes para usuário Administrator; Alteração de descrição para todos os usuários; Leitura de informações básicas do diretório para usuário Anônimo; Não foi padronizado pela IETF (ainda estão definindo um padrão). Cada fabricante tem um padrão distinto muito trabalho de migração caso seja necessário mudar de fabricante Otimizações do LDAP Tipos de otimizações Replicação de Diretório Problema Solução Resultado Diretórios Distribuídos Problema Solução Tipos de Otimizações Replicação do serviço de diretórios Conceito de prover mecanismos de tolerância a falhas afim que manter o acesso as informações dos usuário sempre integra. Diretórios distribuídos Conceito que visa reduzir os pontos de falhas, alem de prover menor consumo de banda e tempo quando uma consulta é realizada. O principal benefício é a possibilidade de redução de custos com hardware

6 5/22/2009 Replicação de Diretório Replicação de Diretório Problema: Muitos computadores acessando um servidor ponto de falha. Solução: Usar o conceito de Diretórios Replicados para usar uma redundância quando for necessário Diretórios Distribuídos Replicação de Diretório 32 Quando temos uma falha no serviço o outro servidor entra em operação de forma automática. Problema: Muitos Computadores acessando o local que reside a informação. ( Tempo elevado e utilização do hardware para consulta) Diretórios Distribuídos Solução: Utilização de vários computadores na formação na arvore de Diretórios. 6

7 Conteúdo Introdução ao Gerenciamento de Redes Elementos de gerência Áreas funcionais Modelo agente X gerente Protocolo SNMP Estrutura das MIBs Importância de uma política de gerenciamento Aumento de dispositivos conectados em rede Aumento do número de aplicações em rede Garantia de segurança das informações trafegadas Verificação e controle na carga do tráfego de dadosd Detecção e prevenção de falhas Garantia de tempo de resposta que satisfaça as necessidades dos usuários O que é gerenciamento? Coordenação de recursos materiais e/ou lógicos distribuídos fisicamente na rede de modo a assegurar confiabilidade, d tempo de resposta aceitável e segurança das informações.... visa a detecção e manipulação de falhas, ineficiência de desempenho e o compromisso com segurança Etapas do gerenciamento Coleta de dados Monitoração dos recursos gerenciados da rede Armazenamento em arquivos logs Tipos de dados coletados Tráfego nos enlaces da rede Detecção de dispositivos fora do ar Sobrecarga dos pacotes característicos nos nós da rede Etapas do gerenciamento Diagnósticos Tratamento e análise dos dados coletados Execução de procedimentos manuais ou automáticos Detecção da causa do problema no recurso gerenciado Ação Ação sobre o recurso da rede referente ao problema diagnosticado

8 Gerência Centralizada Único nó responsável pela gerência da rede Modelo cliente-servidor Concentração de atividades no nó central Elemento centralizado: ponto de falha Gerência Descentralizada Distribuição das atividades de gerência Vários nós responsáveis por uma atividade de gerenciamento Gerenciamento hierárquico Gerência por delegação Monitoramento Remoto Gerência Reativa Detecção de problemas no momento da sua ocorrência Emissão de alarmes e eventos As ações podem ter retardos não admissíveis Gerência Pró-Ativa Antecipa possíveis problemas que possam ocorrer Estabelecimento de uma baseline contendo o perfil normal da rede através de limiares (thresholds) Monitoramento da rede confrontando o perfil obtido com a baseline Detecção da mudança de perfil normal da rede, acionando o diagnóstico da anomalia Elementos de Gerência Estação de gerência Recurso gerenciado Base com informações de gerenciamento Protocolo de gerenciamento Elementos de Gerência Estação de gerência Máquina responsável pela solicitação das informações de gerenciamento Recurso gerenciado Elemento a ser monitorado fornecendo informações à estação de gerência Base com informações de gerenciamento(mib) Repositório de todos os objetos gerenciados em uma rede

9 Elementos de Gerência Protocolos de Gerência Arquitetura OSI (Open System Interconnection) CMIS/CMIP (Common Management Information Service/Common Management Information Protocol) Criado pela ISO (International Standards Organization) Define as Áreas Funcionais (Desempenho, Falhas, Configuração, Contabilização e Segurança) Arquitetura TCP/IP SNMP (Simple Network Management Protocol) Criado pelo IETF (Internet Engeneering Task Force) Adotado para a internet Áreas Funcionais Definidas pela ISO Gerência de Falhas Gerência de Configuração Gerência de Desempenho Gerência de Contabilização Gerência de Segurança Áreas Funcionais Gerência de Falhas Processo de localizar problemas ou falhas na rede. Etapas Identificar a falha Eventos críticos da rede Pollings casuais Isolar a causa Consertar ou substituir o componente Testar a correção Armazenar a detecção e resolução do problema Áreas Funcionais Gerência de Configuração Processo de gerência que objetiva controlar a configuração dos recursos da rede Etapas Obter informações sobre o ambiente da rede Busca de novos dispositivos (Discovery) Estabelecimento de comunicação via protocolo de gerência Modificar configurações a partir das informações obtidas Armazenar informações Uso de SGBDs s Áreas Funcionais Gerência de Desempenho Processo de gerência que busca otimizar a taxa de acesso aos recursos da rede Etapas Coleta dos dados d Análise dos dados Definição dos limiares Simulação Áreas Funcionais Gerência de Contabilização Controlar o uso dos recursos da rede através da taxação dos mesmos com base em cotas e métricas pré-estabelecidas Etapas Obter informações Configurar cotas Aplicar custos

10 Áreas Funcionais Gerência de Segurança Proteção e o controle de acesso dos recursos da rede Emprego correto dos mecanismos de segurança Etapas Identificar as informações a serem protegidas Identificar os pontos de acesso a estas informações Prover e manter a segurança a estes pontos de acesso SNMP Processo de Comunicação Estação de Gerenciamento GERENTE Requisições Respostas PROTOCOLO DE GERÊNCIA Nó Gerenciado AGENTE MIB SNMP Gerente SNMP Requisita informações dos recursos gerenciados Analisa estas informações para detecção de diagnóstico Agente SNMP Prover ao gerente informações sobre os recursos gerenciados SNMP Protocolo SNMP Utiliza o protocolo UDP para a comunicação Fornece operações a serem executadas sobre os objetos gerenciados Versões SNMPv1 SNMPv2 SNMPv SNMP SNMPv1 Comandos Get-Request Get-Next-Request Set-Request Trap Segurança Segurança baseada em community SNMP SNMPv2 Comandos adicionais InformRequest GetbulkRequest Suporte a gerência hierárquica i Mib Manager to Manager Segurança MIBPaty SNMPv2C Segurança baseada em community

11 SNMP SNMPv3 Extensão do SNMPv2 Caráter modular Entidades SNMP SNMP Engine SMNP Aplications SNMP Mensagens Mensagem Get-request Get-next-request Get-bulk-request Set-request Inform-request SnmpV2-trap Descrição Pede o valor de uma ou mais variáveis Pede a variável seguinte Recupera uma grande tabela Atualiza uma ou mais variáveis, desde que a especificação do objeto permita Manager-to-manager dizendo quais variáveis ele está gerenciando Agent-to-manager trap report (resposta do agente para o gerente) MIB Coleção de objetos (variáveis) gerenciados pelo SNMP Define informações específicas da rede ou do nó Os objetos são divididos em grupos MIB Grupo #objeto Descrição System 7 Nome, localização e descrição do equipamento Interface 23 Interface de rede e medidas de tráfego AT 3 Tradução de endereços IP 42 Estatísticas de pacotes IP ICMP 26 Estatísticas sobre mensagens ICMP recebidas TCP 19 Algoritmos, parâmetros e estatísticas TCP UDP 6 Estatísticas de tráfego UDP EGP 20 Estatísticas do Exterior Gateway Protocol Transmission 0 Reservado para MIBs específicas SNMP 29 Estatísticas de tráfego SNMP Conteúdo Motivação Conceito Características Elementos Problemas do Uso de Múltiplos Gerentes 1 e 2 (Características) MIB

12 Conceito Remote Network Monitoring MIB Definição de uma MIB como sub-árvore da MIB-II Problemas com a distância e uso de informações de gerência tentam ser resolvidos com o uso de monitores remotos Elementos do Gerenciamento Gerente Central Monitores (Estações de Trabalho, hubs, switches ou roteadores) Agente Nota: pode-se ter mais de um gerente na rede Características Usado em LANs e WANs Uso de Probes - monitores das redes que trabalham em modo promíscuo verificando cada pacote da LAN Monitores: Comunicam-se com uma estação central de gerenciamento de rede Podem produzir estatísticas de erros da rede, colisões e outros Podem armazenar partes dos pacotes ou pacotes inteiros para análises posteriores Agente Software executado no monitor que consegue ler dados da MIB (RFC 1757) Funções do Agente Operações offline Monitoração pró-ativa Detecção e registro de problemas Análise dos dados coletados Múltiplos gerentes Funções do Agente Operações offline Monitor coleta continuamente falhas, informações de desempenho e de configuração mesmo não sendo feita uma requisição pelo gerente Monitor acumula estatísticas que podem ser recuperadas depois pelo gerente A estação de gerenciamento poderá ser notificada se eventos excepcionais ocorrerem É possível limitar ou parar a rotina de polling de um monitor, reduzindo custos de comunicação Funções do Agente Monitoração pró-ativa Executar diagnósticos continuamente Gerar logs sobre desempenho da rede Em caso de falha, notifica-se o gerente sobre esta e provê informações proveitosas ao diagnóstico da rede Possível desenvolver funções de baseline, isto é, manter históricos das operações normais por um tempo estendido e em seguida fazer uma análise para identificar problemas potenciais na rede

13 Funções do Agente Detecção e registro de problemas Monitor reconhece condições de erro ou congestionamento Quando uma condição configurada ocorrer, pode-se gerar logs e tentar notificar o gerente Funções do Agente Análise dos dados coletados Monitor executa análises específicas Exemplo Determinar qual host gera mais tráfego na rede Funções do Agente Múltiplos Gerentes Gera mais confiabilidade Cada estação gerente pode ter funções diferentes Provê capacidades de gerência para unidades diferentes na organização Monitores remotos ou dispositivos Podem ser configurados como um serviço em um sistema ou como um dispositivo dedicado Configurado como dispositivo dedicado, o monitor é capaz de efetuar operações mais complexas Controle dos monitores remotos Configuração Invocação de ação Controle dos monitores remotos Configuração Configuração do monitor pela estação de gerenciamento para coletar dados Informa tipo e forma como os dados d serão coletados Tabela de controle: parâmetros que descrevem o dado na tabela de dados Tabela de dados (somente para leitura) Configuração dos parâmetros é feita pela adição de um novo registro ou alteração de um existente Controle dos monitores remotos Invocação de Ação Mecanismos para emitir um comando para o gerente executar uma ação SNMP: somente lê e seta valores na MIB, não emite comandos Simulação de emissão de comandos usando objetos da MIB Se o valor de um determinado objeto da MIB é alterado a estação de gerência executa uma ação

14 Múltiplos gerentes Agentes estão sujeitos ao gerenciamento de muitas estações gerentes Problemas do uso de múltiplos gerentes Requisições concorrentes: pode exceder a capacidade do monitor Captura de um recurso por um determinado gerente por um longo período de tempo Recursos podem ser atribuídos para um gerente que deu pane antes de liberar o recurso Soluções para o problema de múltiplos gerentes Associação de cada tabela de controle a um objeto do tipo registro que identifica o proprietário de um registro particular da tabela e suas funções associadas Compartilhamento de recursos Rótulo proprietário usado por Estações gerentes que reconhecem seus recursos Gerente que pode identificar o proprietário do recurso ou função e negocia para que estes fiquem acessíveis a todos Gerente que tem autoridade para liberar recursos reservados por outro gerente Atributos do rótulo proprietário Endereço IP Nome da estação gerente Nome do administrador da rede Localização ou telefone Nota: Rótulo não tem função de senha ou mecanismo de controle de acesso 1 Características Opera na camada Media Access Control (MAC) Monitora o tráfego e coleta informações estatísticas de um segmento de rede local Diagnóstico remoto de falhas e erros ocorridos no segmento de rede Não apresentam estatísticas para camadas diferentes da MAC nas várias pilhas de protocolos (IP, IPX,TCP, etc) Não distingue o tráfego neste segmento originado através de um roteador por não monitorar a camada de rede Não é possível fazer medição do tempo de resposta cliente/servidor ou provisão de estatística para as sete camadas através somente deste protocolo Características Opera no nível da camada de rede e camadas superiores Complementa 1 Coleta informações estatísticas e monitora comunicação fim-a-fim Gerencia tráfego gerado por diferentes tipos de aplicação Dúvidas??