Prácticas de Monitorización y Evaluación de Redes

Transcripción

1 3UiFWLFD0RQLWRUL]DFLyQFRQ(WKHUHDO Introducción Objetivos Desarrollo de la práctica. Evaluación Guía rápida de Ethereal Interfaz y menús Captura de paquetes Visualización de resultados Definición de filtros de captura Definición de filtros de visualización Herramientas de análisis de la información Actividad 1: Configuración y captura de paquetes. Obtención de información propia Captura simple de paquetes Actividad 2: Diseño y análisis de pruebas. Visualización de la actividad de la red Utilidad de la monitorización de la Red. Cuestiones de ampliación sobre monitorización de la Red. Referencias ANEXO. Protocolos analizados Ethernet IP ICMP ANEXO. Comandos de diagnóstico usados en la práctica. Ping Tracert Arp Hoja de respuestas,qwurgxfflyq El analizador de protocolos captura conversaciones entre dos o más estaciones. El analizador no sólo captura el tráfico sino que lo decodifica (interpreta su formato). El analizador de protocolos muestra qué está ocurriendo exactamente en la red. Por ejemplo, si una sesión TCP/IP se cuelga, el analizador puede determinar cuál fue la última estación que envió un paquete o la estación que ha dejado de responder. 2EMHWLYRV Los objetivos de la práctica son los siguientes: Conocer una aplicación básica de monitorización a nivel de paquetes. Aprender a extraer conclusiones a partir de los paquetes capturados. 'HVDUUROORGHODSUiFWLFD La práctica se desarrolla en dos bloques, cada uno de ellos se corresponde con una sesión. Bloque 1: Conocimiento de la aplicación y manejo básico de la misma. Bloque 2: Empleo de la aplicación para la captura de paquetes y obtención de resultados y análisis de los mismos. (YDOXDFLyQ La práctica se evaluará por medio de la asistencia a las sesiones correspondientes y la entrega de la hoja de respuestas que se encuentra al final de este boletín. V. Santonja, J.L. Poza 1

2 *XtDUiSLGDGH(WKHUHDO (WKHUHDO es una aplicación que ofrece una interfaz sencilla de utilizar y permite visualizar los contenidos de las cabeceras de los protocolos involucrados en una comunicación de una forma muy cómoda.,qwhuid]\phq~v (WKHUHDO funciona en modo gráfico y está programado con la librería de controles GTK. La ventana principal de la aplicación se divide en tres partes de visualización y una zona inferior de trabajo con filtros. $ % & ',OXVWUDFLyQ9HQWDQDSULQFLSDOGH(WKHUHDO En la primera parte (1) se muestra la información más relevante de los paquetes capturados, como, por ejemplo, las direcciones IP y puertos involucrados en la comunicación. Seleccionando un paquete en esta sección podemos obtener información detallada sobre él en las otras dos secciones de la pantalla que comentaremos a continuación. En la parte central de la ventana (2) se muestra, utilizando controles tree-view, cada uno de los campos de cada una de las cabeceras de los protocolos que ha utilizado el paquete para moverse de una máquina a la otra. Así, si hemos capturado una serie de paquetes de, por ejemplo, una conexión telnet, podremos ver las cabeceras del protocolo TCP, del IP y de los que tengamos debajo de ellos (trama Ethernet, por ejemplo, en una red Ethernet). La tercera parte de la ventana (3) muestra un volcado hexadecimal del contenido del paquete. Seleccionando cualquier campo en la parte central de la ventana se mostrarán en negrita los datos correspondientes del volcado hexadecimal, los datos reales que están viajando por la red. En la barra inferior, aparecen cuatro componentes muy interesantes a la hora de hacer análisis de capturas: Creación de filtros (A), filtro actual (B), borrar filtro (C) y mensajes adicionales (D). Para obtener un mayor detalle de estos menús, se debe consultar la guía del usuario en la página Web de la aplicación. V. Santonja, J.L. Poza 2

3 Todas las opciones que pueden ser empleadas, son accesibles por medio de los menús, la aplicación contiene los siguientes menús,oxvwudflyq0hq~vgh(wkhuhdo File: Menú con los ítems para abrir, guardar ficheros de captura. Permite imprimir y salir de la aplicación. Edit: Menú para encontrar tramas concretas, ir a una trama y marcar tramas. También tiene las opciones de preferencias, de captura y visualización de filtros y protocolos. Capture: Inicia o detiene la captura de paquetes. Display: Permite cambiar las opciones de visualización, correspondencia y coloreado de marcos. Tools: Este menú contiene los pluggins instalados, seguimiento de un paquete TCP (interesante función), sumario de los paquetes capturados y la visualización de las estadísticas de protocolos empelados. Ayuda. Ayuda de la aplicación y acerca de. &DSWXUDGHSDTXHWHV La captura de paquetes se realiza por medio de la opción de menú capture Æ start. Al seleccionar la opción aparecerá la caja de diálogo con las preferencias para la captura de los paquetes.,oxvwudflyq9hqwdqdghsuhihuhqfldvghodfdswxud Las opciones que permite esta ventana son las siguientes: 1.,QWHUIDFH. Es el interface de captura que se va a emplear para la sesión, en algunos sistemas es equivalente a las conexiones de red de las que se dispone V. Santonja, J.L. Poza 3

4 (PPP, Red, etc ) si al seleccionar una opción no se capturan datos, se debe a que no se ha seleccionado el interfaz correcto. 2. &XHQWD. Es el número de paquetes que deseamos que se capturen. En el caso de dejarse a 0, se capturarán todos los paquetes hasta que se detenga manualmente la sesión (o se sature el sistema). 3. )LOWUR. Determina el filtro que deseamos que se aplique a la captura. La sintaxis de los filtros se verán más adelante. 4. $UFKLYR. En caso de que se desee que la captura sea volcada hacia un archivo, se puede seleccionar por medio de este cuadro de texto. 5. /RQJLWXG. Marca la cantidad máxima de bytes de cada trama que deseamos sean capturados. 6. &DSWXUD GH GDWRV HQ PRGR SURPLVFXR. En caso de seleccionarse esta opción, se capturarán todos los datos posibles que sean alcanzables por el host monitor. Si no se selecciona 1, sólo se capturarán los paquetes que entren o salgan al host monitor. 7. $FWXDOL]DFLyQ GH OD OLVWD HQ WLHPSR UHDO. Actualiza la ventana de paquetes capturados a la vez que éstos son capturados. Esta opción tiene el problema de cargar en exceso el sistema. 8. 'HVSOD]DPLHQWRGHODOLVWDGHSDTXHWHVFDSWXUDGRV. Permite que la ventana con el contenido de los paquetes capturados, se actualice en tiempo real. 9. 3HUPLWLU UHVROXFLyQ GH QRPEUHV 0$&. Este botón permite controlar si (WKHUHDO traduce o no los primeros tres octetos de las direcciones MAC al nombre del fabricante a quien ese prefijo ha sido asignado por el IETF HUPLWHUHVROXFLyQGHOQRPEUHGHODUHG. Este botón de radio permite que controlar si (WKHUHDO traduce o la direcciones IP a nombres del dominio del DNS. Haciendo clic en este botón, la lista de paquetes capturados tendrá información más útil, pero provocará las correspondientes peticiones de operaciones de búsqueda, que pueden influir en la captura HUPLWLU OD UHVROXFLyQ GH QRPEUHV GH WUDQVSRUWH. Este botón permite controlar si (WKHUHDO traduce o no los números de puerto del protocolo. Una vez configurada la ventana con las opciones que deseemos, al presionar el botón de OK, comenzará la captura de paquetes, si se presiona CANCEL, no se capturará ningún paquete y se regresará al estado anterior. Durante la captura, aparecerá la caja de diálogo que muestra la evolución.,oxvwudflyq(yroxflyqghodfdswxud 1 En el tipo de ventana de (WKHUHDO, una casilla de verificación está seleccionada cuando tiene el aspecto siguiente: (botón bajado). V. Santonja, J.L. Poza 4

5 9LVXDOL]DFLyQGHUHVXOWDGRV Una vez se han capturado la sesión, toda la secuencia de estos paquetes aparecerá en los marcos de visualización. (WKHUHDO proporciona una serie de herramientas que facilitan esta visualización. La forma más directa de visualizar los resultados consiste en hacer clic en el paquete del que se desee obtener más información, dentro de la zona 1 (ver figura 1) de la ventana. Esta zona muestra los paquetes que han sido capturados. La ventana se divide en filas (una por paquete) y columnas que muestran la correspondiente información acerca de los paquetes. Por defecto las columnas que aparecen son las siguientes:,oxvwudflyq'lvwulexflyqghodvfroxpqdvgh(wkhuhdo 1. Número de paquete. 2. Información temporal de la captura del paquete (fecha, hora, etc.) 3. Dirección fuente. 4. Dirección destino. 5. Protocolo empleado por el paquete. 6. Información adicional. La información de estas columnas puede ser variada por medio de la opción de menú Edit Æ Preferences. Se pueden añadir o quitar columnas con información adicional o variar el orden en que éstas se muestran. Una vez se ha seleccionado un paquete en una fila, la información de éste aparece en la ventana inferior dentro de la zona 2 (ver figura 1). Allí aparece con los campos que este tiene y, por medio de un control tree-view, la información de éstos puede ser visualizada de forma organizada.,oxvwudflyq9hqwdqdvghlqirupdflyq En el panel 2. Se tiene la estructura del mensaje, al seleccionar un ítem de este panel, se visualizará su contenido en el panel 3 dentro del contenido del paquete completo V. Santonja, J.L. Poza 5

6 como una zona sombreada. Se puede extender o contraer toda la información del marco 2 por medio de las opciones de menú Display Æ Collapse All y Display Æ Expand All, respectivamente. Si se desea visualizar un paquete por separado, para un mejor análisis del mismo, o compararlo con otro, se puede seleccionar y por medio de la opción de menú Display Æ Show packet in New Window. El paquete seleccionado aparecerá en una nueva ventana. También se puede acceder a este menú por medio del menú contextual que aparece al hacer clic con el botón derecho en el paquete seleccionado. Otras herramientas útiles a la hora de trabajar con los paquetes visualizados son las de buscar o ir hacia un paquete con un número concreto, esto se hace por medio de los menús Edit Æ Find frame, y Edit Æ Go to Frame. También se puede marcar un paquete por medio de la opción de menú Edit Æ Mark Frame (para desmarcarlo, se debe seleccionar el paquete marcado y volver a seleccionar la opción de menú Edit Æ Mark Frame). 'HILQLFLyQGHILOWURVGHFDSWXUD (WKHUHDO permite filtrar la información acerca de los paquetes capturados, tanto en el momento de la captura de los mismos como en la visualización. (WKHUHDO utiliza la misma sintaxis para la definición de filtros que la orden de Unix WFSGXPS. La descripción que se ofrece a continuación no es más que una adaptación de la información que aparece en la página man de WFSGXPS. Un filtro de captura consiste en un conjunto de expresiones primitivas conectadas mediante los operadores lógicos DQGRU y opcionalmente precedidos por QRW >QRW@SULPLWLYD>DQG_RU>QRW@SULPLWLYD@ WFSSRUWDQGKRVW Captura tráfico telnet (puerto 23) desde y hacia el host WFSSRUWDQGQRWKRVW Captura tráfico telnet no dirigido ni generado por el host Una primitiva es una de las expresiones siguientes: >VUF_GVW@KRVWKRVW! Permite filtrar el tráfico generado (VUF) o recibido (GVW) por un KRVW!, indicando su dirección IP o su nombre. Si no se especifica ni VUF ni GVW, se seleccionan todos los paquetes cuya dirección origen o destino coincide con la del computador especificado. HWKHU>VUF_GVW@KRVWHKRVW! Permite filtrar basándose en la dirección física (Ethernet). Como antes, se puede indicar VUFo GVWpara capturar sólo el tráfico saliente o entrante. JDWHZD\KRVWKRVW! Permite filtrar paquetes que usan al <KRVW! como un JDWHZD\ (router). Es decir, paquetes cuya dirección física (origen o destino) es la del host, pero las direcciones IP (origen o destino) no corresponden al host. >VUF_GVW@QHWQHW!>^PDVNPDVN!`_^OHQOHQ!`@ V. Santonja, J.L. Poza 6

7 Permite seleccionar paquetes basándose en las direcciones de red. Adicionalmente, se puede especificar un máscara de red o el prefijo CIDR cuando sea diferente al de la propia máquina desde donde se realiza la captura. >WFS_XGS@>VUF_GVW@SRUWSRUW! Permite un filtrado basado en los puertos TCP y/o UDP. Las opciones >WFS_XGS@ >VUF_GVW@ permiten restringir el filtrado sólo a los paquetes de un protocolo (TCP o UDP), o sólo a los que utilizan el puerto como origen o como destino. OHVV_JUHDWHUOHQJWK! Selecciona paquetes cuya longitud sea menor o igual (OHVV) o mayor o igual (JUHDWHU que un valor dado OHQJWK! LS_HWKHUSURWRSURWRFRO! Selecciona paquetes del protocolo especificado, bien al nivel Ethernet o al nivel IP. HWKHU_LSEURDGFDVW_PXOWLFDVW Permite filtrar difusiones (EURDGFDVW) o multidifusiones (PXOWLFDVW) Ethernet o IP. H[SU!UHORSH[SU! Esta primitiva permite crear filtros complejos que seleccionan bytes o rangos de bytes en los paquetes. La primitiva se evalúa a True si se cumple la relación. UHORS es una de las siguientes:!! y H[SU is una expresión aritmética compuesta por constantes enteras (expresadas en la sintaxis estándar de C), los operadores binarios > _], un operador de longitud, y funciones para acceder a los datos de un paquete. Para acceder a datos en el interior de un paquete se utiliza la sintáxis siguiente: SURWR>H[SUVL]H@ SURWR es uno de los siguientes HWKHUIGGLLSDUSUDUSWFSXGS or LFPS. El offset en bytes referido al protocolo especificado, viene dado por H[SU. VL]H es opcional e indica el número de bytes del campo de interés; puede ser 1, 2 ó 4, el defecto es 1. El operador de longitud, indicado por la palabra OHQ, da la longitud del paquete. Por ejemplo: HWKHU>@ captura todo el tráfico multicast LS>@ [I captura todos los paquetes IP con opciones LS>@ [III captura sólo datagramas no fragmentados y el primer fragmento de un datagrama. Esta comprobación se aplica implícitamente a todas las operaciones WFS y XGS indexadas. Por ejemplo, WFS>@ siempre significa el primer byte de la cabecera TCP, y no el primer byte de un fragmento tcp distinto del primero. Ejemplos Para capturar todos los paquetes que llegan o salen VXQGRZQ: KRVWVXQGRZQ Para capturar el tráfico entre KHOLRV y, o bien, KRW, o DFH: KRVWKHOLRVDQGKRWRUDFH Para capturar todos los paquetes IP entre DFH y cualquier host excepto KHOLRV: LSKRVWDFHDQGQRWKHOLRV Para capturar todo el tráfico entre el localhost y hosts en Berkeley: V. Santonja, J.L. Poza 7

8 QHWXFEHWKHU Para capturar todo el tráfico ftp a través del router VQXS: JDWHZD\VQXSDQGSRUWIWSRUIWSGDWD Para capturar los paquetes de establecimiento y cierre de cada conexión TCP (the SYN and FIN packets). WFS>@ Para capturar datagramas IP mayores de 576 bytes LS>@! Para capturar los datagramas IP de difusión o multidestino que no han sido enviados mediante una difusión o dirección multidestino Ethernet HWKHU>@ DQGLS>@! Para capturar todos los paquetes ICMP, excepto las peticiones y respuestas de eco: LFPS>@ DQGLFPS>@ 'HILQLFLyQGHILOWURVGHYLVXDOL]DFLyQ (WKHUHDO tiene dos tipos de filtros; los de captura, que siguen la nomenclatura de la instrucción UNIX tcpdump, y los de visualización que siguen una nomenclatura propia de la aplicación. Para crear un filtro de visualización, se debe crear la expresión. Ethreal dispone de una herramienta que facilita la creación de dichos filtros.,oxvwudflyq9hqwdqdghghilqlflyqghilowurvghylvxdol]dflyq Las normas son sencillas, y para saber qué operandos pueden tener las expresiones basta con buscar el deseado en la ventana de (WKHUHDO )LOWHU ([SUHVLyQ. Los operadores que se pueden emplear son de comparación o los booleanos de combinación de expresiones. En las siguientes tablas se muestran estos operadores. &DPSRV V. Santonja, J.L. Poza 8

9 Los valores que pueden tomar los campos son muy variados. La explicación detallada de estos campos se puede encontrar en el apéndice A (Ethereal Display Filter Fields) del manual de uso del Ethereal. Algunos de los campos más interesantes son: &DPSR ([SUHVLyQ &RQWHQLGR tcp srcport tcp.srcport Puerto del emisor (fuente). dstport tcp.dstport Puerto del receptor (destino). ip addr ip.addr Dirección IP (fuente o destino). dst ip.dst IP Destino. src ip.src IP Fuente. ttl ip.ttl Tiempo de vida. proto ip.proto Protocolo empleado. 2SHUDGRUHVGHFRPSDUDFLyQ 2SHUDGRUHVOyJLFRV ([SUHVLyQ 1RPHQFODWXUD& 'HVFULSFLyQ\HMHPSOR eq ==,JXDO ip.addr== ne!= 1RLJXDO ip.addr!= gt > 0D\RUTXH frame.pkt_len > 10 lt < 0HQRUTXH frame.pkt_len < 128 ge >= 0D\RURLJXDOTXH frame.pkt_len ge 0x100 le <= 0HQRURLJXDOTXH frame.pkt_len <= 0x20,QJOpV & 'HVFULSFLyQ\HMHPSOR and && $1'/yJLFR ip.addr== and tcp.flags.fin or 25/yJLFR ip.addr== or ip.addr== xor ^^ ;25/yJLFR tr.dst[0:3] == xor tr.src[0:3] == not! 127/yJLFR not llc [...] 2SHUDGRUGHVXEFDGHQD (WKHUHDO permite seleccionar subcadenas de varias formas. Después de una etiqueta se puede poner un par de corchetes [] conteniendo una lista de ítems separados por coma. eth.src[0:3] == 00:00:83 El ejemplo superior emplea el formato n:m para especificar un rango sencillo. n es el desplazamiento inicial con respecto al comienzo del paquete y m es la longitud del intervalo. eth.src[1-2] == 00:83 V. Santonja, J.L. Poza 9

10 El ejemplo superior emplea el formato n-m para especificar un rango sencillo. En este caso n es la posición inicial y m es la posición final. Para ampliar información sobre los tipos de filtros, se recomienda leer la documentación de (WKHUHDO. +HUUDPLHQWDVGHDQiOLVLVGHODLQIRUPDFLyQ Aparte de las herramientas vistas en el apartado de visualización, existen otras herramientas que permiten facilitar el análisis de la misma. Una de ellas es la coloración de paquetes en función de filtros que se obtiene por medio del menú Display Æ Colorize Display. Para ello se debe definir un filtro que determine el criterio por el que se determinará qué paquetes se colorearán, también se escoge el color de fondo (background) y el color del texto (foreground). Una vez definidos estos datos se debe guardar el filtro (save) y aplicarlo (apply). El resultado debe ser algo similar a lo que se observa en la figura inferior.,oxvwudflyq&rorudflyqghsdtxhwhv Otra opción de gran utilidad es la de seguimiento de un paquete TCP, por medio de esta opción se puede reconstruir la información que ha pasado por la red en una transacción TCP. Para emplear esta opción se debe seleccionar la opción de menú Tools Æ Follow TCP Stream. Esta opción de menú también es contextual y aparecerá al hacer clic con el botón derecho del ratón en un paquete con el protocolo TCP. En la ventana que aparece tendremos el contenido de la secuencia de paquetes.,oxvwudflyq9hqwdqdghvhjxlplhqwrghxqsdtxhwh7&3 En la ventana que se nos muestra, podemos visualizar el texto en formato hexadecimal, ASCII o EBCDIC. También se puede seleccionar el flujo a visualizar entre el entrante o el saliente de nuestra máquina. V. Santonja, J.L. Poza 10

11 (WKHUHDO obtiene el seguimiento del paquete TCP por medio de un filtro, por lo que para volver a visualizar todos los paquetes, se deberá presionar el botón de Reset (C) (ver figura 1). (WKHUHDO proporciona unas sencillas herramientas para un análisis básico de los paquetes que han sido capturados. Una de las opciones es el sumario de la sesión de captura (Tools Æ Summary). Por medio de esta opción aparecerá una ventana con un resumen de la sesión de captura. Si se desea conocer cual ha sido la distribución de los protocolos y subprotocolos empleados, se dispone de la opción de menú Tools Æ Protocol Hierarchy Statistics.,OXVWUDFLyQ5HVXPHQGHSURWRFRORV Para análisis más complejos, se deben definir los filtros adecuados. Sin embargo, (WKHUHDO es un analizador de protocolos, por lo que no es una aplicación completamente indicada para evaluar de forma precisa la carga de la red, parámetros de calidad de la misma, etc. V. Santonja, J.L. Poza 11

12 $FWLYLGDG&RQILJXUDFLyQ\FDSWXUDGHSDTXHWHV 2EWHQFLyQGHLQIRUPDFLyQSURSLD Lo primero que vamos a hacer es averiguar la configuración de la máquina en la que nos encontramos y lo que podamos averiguar de las máquinas con las que vamos a trabajar, para ello lanzaremos la aplicación de Windows ZLQLSFIJ, que puede ser lanzada desde la opción de menú de Windows Inicio Æ ejecutar. La información que obtendremos es la siguiente:,oxvwudflyq9hqwdqdgh:lq,3&rqilj La información que podamos precisar para usarla posteriormente, la anotamos en la siguiente tabla. 1RPEUHGHOKRVW 'LUHFFLyQ,3 'LUHFFLyQ0$& '16SULPDULR '166HFXQGDULR 0iVFDUDGHVXEUHG :,16SULPDULR :,166HFXQGDULR 6HUYLGRU'+&3 V. Santonja, J.L. Poza 12

13 &DSWXUDVLPSOHGHSDTXHWHV A continuación vamos a monitorizar varias de los comandos básicos de monitorización de redes y otras aplicaciones de red. Lanzamos la aplicación (WKHUHDO, y también abrimos una ventana de comandos de MS-DOS desde la que lanzaremos algunos comandos básicos. El primer comando a comprobar será el ping. 1. Comprobar qué direcciones tiene la caché almacenada. Tecleamos en la ventana de comandos: DUS ±D Borraremos cada una de las entradas que existan tecleando: DUS±G[[[[[[[[[[[[(siendo xxx.xxx.xxx.xxx. la dirección IP de las entradas). Ponemos a (WKHUHDO a monitorizar, aunque para que sólo se capturen los paquetes de nuestra máquina, deberemos poner el siguiente filtro en la ventana &DSWXUH SUHIHUHQWHV: KRVW [[[[[[[[[[[[ (siendo xxx.xxx.xxx.xxx la dirección IP de nuestra máquina). También es importante poner el DGDSWHU como (/[ o cualquier otro que no sea PPP. Iniciamos la monitorización y escribimos en la ventana de comandos el ping a la web de la universidad: SLQJ±QZZZXSYHV Escribir la información de captura: 3LQJFRQWDEOD$53YDFtD 1ž )XHQWH 'HVWLQR 3URWRFROR )XQFLyQ 2. Volver a ejecutar el mismo ping. 6DOHODPLVPDVHFXHQFLDGHFRPDQGRVTXHHQHOSXQWRDQWHULRU" 3RUTXp" V. Santonja, J.L. Poza 13

14 3. A continuación comprobaremos qué tipo de paquetes viajan cuando se realiza la traza de la ruta de los paquetes por la red. Para ello escribiremos en la ventana de comandos la siguiente ordenwudfhuwzzzxsyhv. A continuación, haremos lo mismo pero con una dirección externa, por ejemplo: WUDFHUW ZZZJRRJOHFRP. 3RUORYLVWRHQHOWLSRGHSDTXHWHVFDSWXUDGRV HQTXHFRQVLVWHHOWUDFHUW" 4XpVHFXHQFLDGHSURWRFRORVHPSOHDHOFRPDQGR" 4. Otra de las posibilidades que ofrece una aplicación capturadora de paquetes, y analizadora de protocolos, es la posibilidad de analizar las cabeceras del paquete capturado. En nuestro caso analizaremos un paquete ICMP de los capturados. 5HOOHQDU FDGD FXDGUR FRQ OD LQIRUPDFLyQ FDSWXUDGD \ VX VLJQLILFDGR LQWHUSUHWiQGRORVHJ~QHODQH[RGHSURWRFRORV %\WHV %\WHV &DEHFHUD &RQWHQLGR 6LJQLILFDGR SDTXHWH FDEHFHUD ± (WKHUQHW 00 E0 7B MAC destino,3,&03 V. Santonja, J.L. Poza 14

15 5. A continuación vamos a ver los paquetes FTP. Para ello usaremos el cliente ftp de MS-DOS. Iniciamos la captura de datos con (WKHUHDO. Tecleamos IWS en la ventana de comandos. Una vez aparezca el prompt de ftp, nos conectaremos a la máquina Zoltar por medio del comando ftp: RSHQ]ROWDUUHGHVXSYHV con el usuario y pasword que hemos empleado para entrar en la máquina del laboratorio. Una vez dentro, simplemente haremos una visualización de las carpetas que tenemos disponibles, por medio del comando GLU. A continuación enviaremos un archivo (de texto, con el nombre del ordenador en el que estemos, que previamente habremos creado en c:\, para que sea fácil referenciarlo) al directorio de destino del ftp por medio de la instrucción VHQG. Finalmente nos salimos de la sesión, por medio de la opción FORVH y a continuación cerramos el cliente ftp por medio de E\H. 4XpVHFXHQFLDGHSURWRFRORVVRQORVTXHLQWHUYLHQHQHQXQDFRPXQLFDFLyQ IWS" 1ž )XHQWH 'HVWLQR 3URWRFROR )XQFLyQ Establecimiento de la conexión FTP Envío de datos Cierre de la conexión FTP 9LDMDQHQFULSWDGDVODVFRQWUDVHxDV" V. Santonja, J.L. Poza 15

16 6. Finalmente, analizaremos una sesión de navegación en Web (http). Iniciamos la captura de datos con (WKHUHDO. Abrimos el navegador Internet Explorer. Una vez aparezca la ventana de la aplicación y haya aparecido la página principal de la universidad, nos conectaremos a Google ( 4XpVHFXHQFLDGHSURWRFRORVVRQORVTXHLQWHUYLHQHQHQXQDFRPXQLFDFLyQ KWWS" 1ž )XHQWH 'HVWLQR 3URWRFROR )XQFLyQ $FWLYLGDG'LVHxR\DQiOLVLVGHSUXHEDV En esta segunda actividad vamos a probar algunas de las opciones de filtrado y visualización de paquetes. Para ello necesitaremos capturar una gran cantidad de tramas. Es importante tener en cuenta que las opciones de captura pueden variar sustancialmente el resultado. Para cargar la red de paquetes reales, cada grupo abrirá un navegador de Web e irá solicitando páginas de búsquedas diversas (a libre elección) o del servidor de redes ( cuando uno de los grupos cercanos se lo solicite (ya que van a capturar paquetes). 9LVXDOL]DFLyQGHODDFWLYLGDGGHODUHG 7. Para hacernos una idea de la actividad de la red en el momento de la captura, pondremos a (WKHUHDO a capturar toda la información posible, para ello no definiremos ningún filtro, además activaremos la casilla de &DSWXUHSDFNHWVLQ SURPLVFXRXV PRGH. Esta captura la haremos durante un minuto 2. A continuación realizaremos la misma captura pero filtrando sólo los paquetes en los que el destino o el origen sea nuestra máquina. Anotar los principales porcentajes de los protocolos capturados y comparar resultados. Existen diferencias? 2 A El tiempo de un minuto es relativo, en caso de que este tiempo sea escaso, se realizará la misma monitorización, pero durante cinco minutos. V. Santonja, J.L. Poza 16

17 3RUFHQWDMHVGHSURWRFRORVHPSOHDGRV 0RGRSURPLVFXR 0RGRORFDO 3URWRFROR 3URWRFROR Existen diferencias? por qué? 8WLOLGDGGHODPRQLWRUL]DFLyQGHOD5HG 8. Para comprobar los puertos a los que se accede, procederemos a modificar las opciones de visualización de (WKHUHDO. Pondremos las columnas necesarias para visualizar los puertos fuente y destino. A continuación procederemos a capturar durante un minuto paquetes que estén destinados a la máquina servidora de la web de redes ( ). 4XpILOWURGHEHPRVGHILQLU" 4XpSXHUWRVVRQORVPiVHPSOHDGRV" 9. A continuación vamos a monitorizar la red para localizar un programa rastreador de puertos que se encuentra en un ordenador del aula cuya ip nos proporcionará el profesor. IP rastreador 4XpILOWURGHEHPRVGHILQLU" 'HTXpRUGHQDGRUVHWUDWD" 10. Otra de los aspectos de la red que podemos monitorizar a partir de la captura de paquetes es comprobar los paquetes dirigidos a un gateway ). Es decir, paquetes cuya dirección física (origen o destino) es la del host, pero las direcciones IP (origen o destino) no corresponden al host. Dirección física del gateway 4XpILOWURGHEHPRVGHILQLU" V. Santonja, J.L. Poza 17

18 &XHVWLRQHVGHDPSOLDFLyQVREUHPRQLWRUL]DFLyQGHOD5HG 11. En algunas ocasiones, no se realiza un adecuado cierre o restricción de los puertos de comunicación que no son utilizados. Todos los servidores y estaciones de trabajo poseen una o más interfaces conectadas a la red. A través de esta interfaz se realiza la transferencia de información con el sistema que provee el servicio. Este servicio opera sobre un protocolo de comunicaciones, por ejemplo TCP/IP, UDP/IP, Netbios, etc, y un número de puerto. Por ejemplo, si utilizamos un servidor Web que exclusivamente provee servicios http, deberemos asegurarnos que en la interfaz de red que da hacia Internet, exclusivamente se permita el puerto TCP 80. &ypr SRGUtDPRV FRQ (WKHUHDO ORFDOL]DU ODV PiTXLQDV TXH QR WLHQHQ XQD FRQILJXUDFLyQFRUUHFWDGHXQVHUYLGRUKWWSFRPRHOH[SXHVWR" 12. Los filtros proporcionan una gran información acerca de la actividad de la red. Un sistema de ataque clásico a una máquina es por medio del envío de una avalancha de solicitudes de entrada al servidor con direcciones de origen falsas (por medio de paquetes de UDP y ICMP). El servidor no puede identificarlos, pero antes de desconectar espera unos minutos. Este proceso repetido bloquea al servidor. &yprsrgutdprvfrq(wkhuhdoorfdol]duxqdwdtxhdxqdpitxlqd\rewhqhu ODLQIRUPDFLyQQHFHVDULDSDUDVXSURWHFFLyQ" 5HIHUHQFLDV (WKHUHDO V. Santonja, J.L. Poza 18

19 5)& RFC FYI on a Network Management Tool Catalog: Tools for Monitoring and Debugging TCP/IP Internets and Interconnected Devices. 0LFURVRIW Guía de uso de Windows 2000 Server. La parte de teoría de redes es de lo mejor que hay. $1(;23URWRFRORVDQDOL]DGRV (WKHUQHW,3,&03,QWHUQHW&RQWURO0HVVDJH3URWRFRO, Protocolo de Mensajes de Control de Internet ) es considerado a menudo como parte de la capa de red IP. Su misión es comunicar los mensajes de error y otras circunstancias que reclaman atención. Los mensajes ICMP son transmitidos en el interior de datagramas IP, como lo muestra la figura. A continuación se describen los distintos WLSRV ICMP: 5HVSXHVWDHFR5HVSXHVWDGH3LQJ7LSR V. Santonja, J.L. Poza 19

20 'HVWLQRLQDFFHVLEOH7LSR &DGHQFLDGHHQYtRGHPDVLDGRHOHYDGD&RQWUROGHIOXMR7LSR 5HGLUHFFLyQ7LSR 3HWLFLyQHFR7LSR $YLVRGH5RXWHU7LSR 6ROLFLWXGGH5RXWHU7LSR 7LHPSRVREUHSDVDGRWWO7LSR 3UREOHPDGHSDUiPHWURVRGHIRUPD7LSR 3HWLFLyQ7LPHVWDPS7LSR 5HVSXHVWD7LPHVWDPS7LSR 3HWLFLyQGH,QIRUPDFLyQ2EVROHWR7LSR 5HVSXHVWDGH,QIRUPDFLyQ2EVROHWR7LSR 3HWLFLyQGHPiVFDUDGHGLUHFFLyQ7LSR 5HVSXHVWDGHPiVFDUDGHGLUHFFLyQ7LSR El campo tipo se complementa con la información suministrada por el campo FyGLJR. En función del valor que tomen ambos, el receptor puede distinguir entre una solicitud o un error ICMP. El campo 697 se denomina secuencia de verificación de trama y consiste en una suma de control de todo el paquete ICMP. Los siguientes 16 bits después del campo 697 tienen un propósito que varía y se especifican dependiendo del paquete ICMP considerado. En el caso de una solicitud, se solicita o se informa de un acontecimiento concreto que no es causa de ningún error. Una respuesta a un eco ICMP lanzado por ping o un aviso de presencia de router, serían un ejemplo de ello. Ejemplos en los que se producen condiciones de error puede ser cuando el campo TTL alcanza el valor cero, una máquina es inaccesible, una fragmentación es requerida pero imposible de realizar debido al bit GRQ WIUDJPHQW, etc... Es necesario establecer una distinción entre una solicitud ICMP y un error ICMP. Un mensaje de error nunca puede ser producido como consecuencia de otro mensaje de error. Si esta regla no fuese aplicada, podríamos encontrarnos sobre escenarios en los que un error ICMP provoca otro error ICMP y así sucesivamente. Un error ICMP enviado contiene siempre la cabecera IP y los 8 primeros octetos de datos del datagrama que lo provocó. Ello permite al módulo ICMP asociar el mensaje recibido a un protocolo particular (TCP o UDP en función del campo protocolo de la cabecera IP) y a un proceso de usuario determinado (mediante los números de puerto de TCP o UDP). $1(;2&RPDQGRVGHGLDJQyVWLFRXVDGRVHQODSUiFWLFD 3LQJ Comprueba el estado de las conexiones establecidas con uno o varios hosts remotos. Este comando está disponible sólo si se ha instalado el protocolo TCP/IP. SLQJ >W@ >D@ >Q FXHQWD@ >O ORQJLWXG@ >I@ >L SY@ >Y WV@ >U FXHQWD@ >V FXHQWD@ >>M OLVWD'H(TXLSRV@_>NOLVWD'H(TXLSRV@@>ZWLHPSR'H(VSHUD@OLVWD'H'HVWLQR W V. Santonja, J.L. Poza 20

21 Comprueba el host especificado hasta que es interrumpido. D Resuelve las direcciones en nombres de equipos. QFXHQWD Transmite el número de paquetes de eco especificado en número. El valor predeterminado es 4. OORQJLWXG Transmite paquetes de eco que contienen la cantidad de datos especificada en longitud. El valor predeterminado es 32 bytes y el valor máximo I Transmite un indicador "No fragmentar 7UDFHUW Esta herramienta de diagnóstico determina el camino tomado hacia un destino enviando paquetes de eco del Protocolo de mensajes de control de Internet (ICMP) con valores variables de Período de vida (TTL) para el destino. Cada enrutador de la ruta de acceso debe decrementar el Período de vida de un paquete al menos en 1 para reenviarlo, de forma que el Período de vida sea un número de "hops". Cuando el Período de vida de un paquete llegue a 0, se supondrá que el enrutador debe devolver al sistema de origen un mensaje de tiempo excedido de ICMP. Para determinar la ruta, tracert envía el primer paquete de eco con un período de vida de 1 y lo incrementa en una unidad en cada transmisión posterior hasta que el destino responda o se alcance el período de vida máximo. La ruta se determina examinando los mensajes de tiempo excedido de ICMP enviados de vuelta por los enrutadores intermedios. Sin embargo, algunos enrutadores omiten sin notificación los paquetes con valores de período de vida caducados, por lo que son invisibles para tracert. WUDFHUW>G@>KVDOWRV0i[LPRV@>MOLVWD'H(TXLSRV@>ZWLHPSR'H(VSHUD@ QRPEUH'H'HVWLQR G Especifica que las direcciones no se deben resolver hacia nombres de hosts. K saltosmáximos Especifica el número máximo de hops que se deben buscar para el destino. M listadeequipos Especifica la ruta de origen no estricta a lo largo de la listadeequipos. Z tiempodeespera Espera el número de milisegundos especificado por tiempodeespera en cada respuesta. QRPEUH'H'HVWLQR Nombre del host de destino. $US Muestra y modifica las tablas de traducción de direcciones físicas de IP a Ethernet o a Token Ring que utiliza el protocolo de resolución de direcciones (ARP, Address Resolution Protocol). Este comando sólo está disponible si se ha instalado el protocolo TCP/IP arp -a [dir_inet] [-N [dir_if]] arp -d dir_inet [dir_if] arp -s dir_inet dir_eth [dir_if] D V. Santonja, J.L. Poza 21

22 Muestra las entradas actuales de ARP mediante una consulta de TCP/IP. Si se especifica dir_inet, sólo se mostrarán las direcciones IP y físicas del equipo especificado. J Igual que -a. GLUBLQHW Especifica una dirección IP en notación decimal con puntos. 1 Muestra las entradas de ARP para la interfaz de red especificada mediante dir_if. GLUBLI Especifica, si está presente, la dirección IP de la interfaz cuya tabla de traducción de direcciones debe modificarse. Si no está presente, se usará la primera interfaz aplicable. G Elimina la entrada especificada mediante dir_inet. V Agrega una entrada a la caché de ARP para asociar la dirección IP dir_ineta la dirección física dir_eth. La dirección física se especifica como 6 bytes hexadecimales separados por guiones. La dirección IP se especifica mediante la notación decimal con puntos. Esta entrada es permanente, es decir, no se quitará automáticamente de la caché cuando termine el tiempo de espera. GLUBHWK Especifica una dirección física. V. Santonja, J.L. Poza 22

23 +RMDGHUHVSXHVWDV 1RPEUH $SHOOLGRV '1, )HFKD 6HVLyQ 3UiFWLFD &DOLILFDFLyQ $FWLYLGDG 1RPEUHGHOKRVW 'LUHFFLyQ,3 $GDSWDGRU '16SULPDULR '166HFXQGDULR 0iVFDUDGHVXEUHG :,16SULPDULR :,166HFXQGDULR 6HUYLGRU'+&3 3LQJFRQWDEOD$53YDFtD 1ž )XHQWH 'HVWLQR 3URWRFROR )XQFLyQ 6DOHODPLVPDVHFXHQFLDGHFRPDQGRVTXHHQHOSXQWRDQWHULRU" 3RUTXp" 3RUORYLVWRHQHOWLSRGHSDTXHWHVFDSWXUDGRV HQTXHFRQVLVWHHOWUDFHUW" 4XpVHFXHQFLDGHSURWRFRORVHPSOHDHOFRPDQGR" Hoja de respuestas 1

24 5HOOHQDU FDGD FXDGUR FRQ OD LQIRUPDFLyQ FDSWXUDGD \ VX VLJQLILFDGR LQWHUSUHWiQGRORVHJ~QHODQH[RGHSURWRFRORV %\WHV %\WHV &DEHFHUD &RQWHQLGR 6LJQLILFDGR SDTXHWH FDEHFHUD ± (WKHUQHW 00 E0 7B MAC destino,3,&03 4XpVHFXHQFLDGHSURWRFRORVVRQORVTXHLQWHUYLHQHQHQXQDFRPXQLFDFLyQ IWS" 1ž )XHQWH 'HVWLQR 3URWRFROR )XQFLyQ Establecimiento de la conexión FTP Envío de datos Hoja de respuestas 2

25 Cierre de la conexión FTP 9LDMDQHQFULSWDGDVODVFRQWUDVHxDV" 4XpVHFXHQFLDGHSURWRFRORVVRQORVTXHLQWHUYLHQHQHQXQDFRPXQLFDFLyQ KWWS" 1ž )XHQWH 'HVWLQR 3URWRFROR )XQFLyQ $FWLYLGDG 3RUFHQWDMHVGHSURWRFRORVHPSOHDGRV 0RGRSURPtVFXR 0RGRORFDO 3URWRFROR 3URWRFROR Hoja de respuestas 3

26 4XpILOWURGHEHPRVGHILQLU" 4XpSXHUWRVVRQORVPiVHPSOHDGRV" IP rastreador 4XpILOWURGHEHPRVGHILQLU" 'HTXpRUGHQDGRUVHWUDWD" Dirección física del gateway 4XpILOWURGHEHPRVGHILQLU" &ypr SRGUtDPRV FRQ (WKHUHDO ORFDOL]DU ODV PiTXLQDV TXH QR WLHQHQ XQD FRQILJXUDFLyQFRUUHFWDGHXQVHUYLGRUKWWSFRPRHOH[SXHVWR" &yprsrgutdprvfrq(wkhuhdoorfdol]duxqdwdtxhdxqdpitxlqd\rewhqhu ODLQIRUPDFLyQQHFHVDULDSDUDVXSURWHFFLyQ" 2EVHUYDFLRQHV,QFLGHQFLDV Hoja de respuestas 4