REDES DE COMPUTADORES REDES Y SISTEMAS DISTRIBUIDOS

Transcripción

1 REDES DE COMPUTADORES REDES Y SISTEMAS DISTRIBUIDOS Título de la práctica Sesión Monitorización de redes con Ethereal Semana 15/01/2007 Laboratorio 2.2 Material utilizado PCs, PC-Router, Routers Linksys CONFIGURACIÓN Y ADMINISTRACIÓN DE REDES OBJETIVOS Esta sesión tendrá como único objetivo el análisis del tráfico de una red haciendo uso de la herramienta Ethereal. Para ello se obtendrán las tramas y paquetes relacionados con varios escenarios típicos, como el descubrimiento de direcciones mediante ARP, la traducción de direcciones mediante NAT, el intercambio de diversos tipos de paquetes ICMP, la asignación de direcciones mediante DHCP, etc. RECURSOS El laboratorio donde se realizan las prácticas está equipado con los siguientes recursos: PCs con sistemas operativos Windows y Linux. Cada uno de los PCs tiene instalada, al menos, una tarjeta Ethernet 10/100. Routers Linksys. Switches. PARTE A: ANALIZADORES DE PROTOCOLOS DE RED Para observar y analizar el comportamiento de los protocolos de red es preciso disponer de una herramienta capaz de monitorizar el tráfico en la red y mostrarlo en una forma legible. Las herramientas que capturan y muestran el tráfico existente en una interfaz de red se denominan analizadores de protocolos de red, analizadores de paquetes (packet sniffers) o simplemente sniffers (del inglés sniff, olfatear). Para visualizar el tráfico, los analizadores de protocolo colocan la tarjeta de red en modo promiscuo, una modalidad en la cual es capturado todo el tráfico visible para la tarjeta de red. En una red Ethernet una interfaz de red en modo promiscuo puede ver todo el tráfico generado por todos los equipos que comparten el mismo conjunto de cables y hubs. El modo promiscuo implica riesgos evidentes de seguridad, por lo que su uso suele limitarse al supervisor. La arquitectura de software para un protocolo de red en una máquina Linux con tarjeta Ethernet aparece en la siguiente figura. El analizador de protocolo corre como una aplicación, comunicándose con un componente del kernel de Linux llamado Linux Socket Filter. La figura muestra dos analizadores de protocolo distintos, tcpdump y ethereal. tcpdump funciona en línea de comando mientras que ethereal es una aplicación gráfica, pero ambos hacen más o menos lo mismo. El Linux Socket Filter actúa como intermediario entre el analizador de protocolo y el controlador de la tarjeta de red Ethernet (Ethernet device driver); coloca la tarjeta de red en modo promiscuo, obtiene una copia de todo el tráfico entrante desde la red y todo el tráfico saliente hacia la red, y procesa este tráfico y lo transfiere al analizador de protocolo, que lo presenta al usuario DITEC. Universidad de Murcia - Página 1

2 PARTE B: ETHEREAL Ethereal es un analizador de protocolos con interfaz gráfica capaz de reconocer muchos protocolos distintos. Permite tanto revisar los paquetes de datos en una red activa como desde un archivo de captura previamente generado; es capaz de comprender diversos formatos de archivo propios de otros programas de captura, en particular el clásico tcpdump. La figura muestra la ventana principal de Ethereal tras una captura de datos. Inicialmente, esta ventana aparece vacía. En la ventana principal de Ethereal se reconocen tres áreas principales: Resumen de paquetes capturados, un paquete por línea; uno de ellos ha sido seleccionado como paquete actual (haciendo clic sobre la línea del paquete). Al desplazarse en la lista y cambiar el paquete actual se actualizan las otras dos ventanas, donde se despliega en dos formatos diferentes el contenido del paquete DITEC. Universidad de Murcia - Página 2

3 Detalles de encabezado de protocolos para el paquete seleccionado; los encabezados pueden abrirse (clic en +) para ver mayor detalle, o cerrarse (clic en -) para ocupar sólo una línea. Datos crudos del paquete, representación hexadecimal y ASCII del encabezado del paquete seleccionado en el campo del medio. Para iniciar la captura de datos, elegir las opciones de menú Capture: Start (Capturar, Comienzo). En la ventana de opciones de captura (ver figura), debe fijarse al menos la interfaz sobre la que se quiere realizar la captura. Para capturar en un archivo debe indicarse su nombre en el cuadro "Capture file(s)" de la ventana de Opciones de Captura (Capture: Start abre esta ventana). Estos archivos pueden ser examinados luego con el propio Ethereal mediante la opción de menú File: Open. La ventana de estado muestra en tiempo real la cantidad de paquetes capturados, en total y de algunos tipos corrientes. La situación de captura se mantiene hasta que se presiona el botón Stop. Luego de unos instantes aparecen los paquetes capturados, tal cual se ve en la imagen de la ventana principal. Si se activó la opción de actualizar lista de paquetes en tiempo real ( Update list of packets in real time ) estos se visualizan a medida que son capturados DITEC. Universidad de Murcia - Página 3

4 FILTRADO DE PAQUETES El filtrado de paquetes permite capturar o desplegar sólo aquellos paquetes de interés para el estudio en curso, desconociendo la existencia de otros. Ethereal tiene dos modos de filtro distintos: Filtro de captura: sólo se retienen los paquetes que cumplen la expresión filtro. Define lo que se guarda. Filtro de visualización: de los paquetes capturados, sólo se muestran los paquetes que cumplen la expresión del filtro. Define lo que se ve de lo que hay guardado. La sintaxis de escritura de ambos tipos de filtro es diferente. Los filtros de captura siguen la sintaxis del comando tcpdump y deben ser escritos en el cuadro Filter de la ventana de opciones de captura, antes de iniciar la captura. Los filtros de visualización se fijan en el cuadro Filter de la ventana principal de Ethereal. Filtro de captura Un filtrado de paquetes por tipo puede lograrse en forma muy simple escribiendo el tipo en el cuadro Filter de la ventana principal: tcp, icmp, udp, etc. Para construcción de expresiones de filtro de captura se dispone de palabras claves (src, dst, host, net, len,...), operadores lógicos (and, or, not) y paréntesis. Los paquetes capturados deberán cumplir con la expresión booleana construida. La página man de tcpdump muestra todas las opciones. La tabla siguiente muestra un conjunto de ejemplos comunes. dst host src host host dst net /24 src net /24 net /24 dst port 80 src port 80 port 80 tcp port 80 udp port 80 len <= 200 icmp tcp udp ospf IP de destino (dst) IP de origen (src) IP de origen o de destino IPs de máquinas en la red destino IPs de máquinas en la red origen IPs de máquinas enla red origen y en la red destino puerto destino 80 en segmento TCP o datagrama UDP puerto origen 80 en segmento TCP o datagrama UDP puerto origen o destino 80 en segmento TCP o datagrama UDP puerto origen o destino 80 en segmento TCP puerto origen o destino 80 en datagrama UDP largo de paquete menor que 200 bytes el campo del protocolo IP fijado en el número correspondiente a ICMP, TCP, UDP u OSPF ip proto 17 número de protocolo IP es 17 broadcast tramas de difusión Ethernet ip broadcast paquete de difusión IP ip carga útil Ethernet es IP o ARP arp 2007 DITEC. Universidad de Murcia - Página 4

5 Filtro de visualización La creación de filtros de visualización es similar a la de captura, pero la sintaxis es diferente. Se construyen más fácilmente usando el constructor invocado por el botón Add Expression, donde pueden elegirse los campos de cada protocolo, los operadores, e ingresar los valores requeridos. Algunos ejemplos pueden verse en la siguiente tabla. ip.dst== ip.src== ip.addr== ip.dst== /24 ip.src== /24 ip.addr== /24 tcp.dstport==80 or udp.dstport==80 tcp.srcport==80 or udp.srcport==80 tcp.port==80 or udp.port==80 campo dirección destino IP de una máquina campo dirección origen IP de una máquina campo dirección origen o campo dirección destino IP de una máquina campo dirección destino IP de una red campo dirección origen IP de una red campo dirección origen o campo dirección destino IP de una red puerto destino es 80 en segmento TCP o datagrama UDP puerto origen es 80 en segmento TCP o datagrama UDP puerto origen y destino es 80 en segmento TCP o datagrama UDP eth.len<=200 largo de paquete menor o igual a 200 bytes icmp el campo protocolo de paquete IP fijado en el número tcp correspondiente a cada uno de los protocolos indicados udp ospf ip.proto==17 el campo de protocolo del paquete IP fijado en 17 eth.dst=ff:ff:ff:ff:ff:ff paquete de difusión Ethernet ip carga útil Ethernet es IP o ARP arp 2007 DITEC. Universidad de Murcia - Página 5

6 EJERCICIOS PROPUESTOS Esta práctica se realizará por equipos de 4 personas (dos grupos de prácticas). A cada uno de estos equipos le corresponde la configuración de un router y dos PCs. Estos son los pasos a seguir para realizar la configuración de direcciones IP y rutas para esta sesión (ver apéndice A): 1. Configurar la interfaz de todos los routers con la dirección IP , perteneciente a la red / Todos los routers tienen que funcionar como servidores de DHCP. Los servidores DNS que deben especificarse son el propio router y A cada router se debe conectar un PC (PC 1), el cual debe obtener su dirección mediante DHCP. 4. El otro PC (PC 2) será conectado directamente a la red de la sala y también obtendrá su dirección mediante DHCP. 5. Todos los routers tienen que tener activada la opción de realizar NAT. 6. Los routers obtendrán la dirección mediante DHCP (red /24 cuyo router por defecto es el ). 7. La conexión de los routers de la sala al router del centro de cálculo se realizará utilizando los latiguillos que llegan mediante las regletas a cada uno de los PCs de la sala. Para todos los ejercicios que se detallan a continuación, los pasos a seguir deben ser siempre los siguientes: 1. Iniciar una captura (Capture: Star), elegir la interfaz eth0 y arrancar la captura presionando el botón OK. 2. En función del ejercicio, realizar la secuencia de comandos correspondiente que conlleve la generación del tráfico solicitado. 3. Terminar la captura (Stop en la ventana de captura de Ethereal). 4. Examinar la captura. 5. Marcar los paquetes relacionados con el paso Grabar los paquetes marcados, en el formato propio de Ethereal, en un archivo. 7. Visualizar el archivo de captura en formato Ethereal para verificar que los datos se grabaron correctamente. EJERCICIO 1 Obtener la secuencia de tramas ARP necesarias para realizar un ping desde el hasta el. Antes de ejecutarse la orden ping, es posible que sea necesario utilizar la orden arp d para borrar de la tabla ARP las entradas ya aprendidas, ya que de otra forma no se generará tráfico ARP. Realizar la captura tanto desde el como desde el. EJERCICIO 2 Realizar una conexión SSH desde el hacia el. Al capturar las tramas, obsérvese cómo se realiza la traducción de la dirección IP del una vez que el paquete sale del router. Para ello, será necesario capturar tramas tanto en el como en el DITEC. Universidad de Murcia - Página 6

7 EJERCICIO 3 Al contrario del ejercicio anterior, realizar una conexión SSH desde el hacia el. Para ello, será necesario previamente habilitar el forwarding en el router. El objetivo es examinar cómo se realiza la traducción de la dirección destino. Para ello, será necesario capturar tramas tanto en el como en el. EJERCICIO 4 A continuación debe RECHAZARSE todo intento de conexión SSH desde el hacia el. Capturar en el los paquetes devueltos ahora por parte del. MATERIAL RELACIONADO Ethereal User s Guide ( APÉNDICE A. RED DEL LABORATORIO PARA LA SESIÓN 6 DE LA PRÁCTICA 2 Router Centro de Cálculo LINKSYS1 LINKSYS4 LINKSYS2 LINKSYS5 LINKSYS3 LINKSYS6 Notas: Los PCs deben arrancar con la opción Wifi. Todas las subredes correspondientes a las interfaces de los routers tendrán la dirección /24. La dirección del router debe pertenecer a la red /24, cuyo gateway es el Todos los routers tienen que funcionar como servidores de DHCP. Los servidores de DNS son el propio router y Todos los routers tienen que tener ACTIVADA la opción de realizar NAT DITEC. Universidad de Murcia - Página 7