Designul in retelele ethernet

Un subiect extrem de important atunci cand tratam problema designului in retelele ethernet este aceea a segmentarii acestora .Pentru a o putea descrie in ansamblu este nevoie de o scurta prezentare a echipamentelor care pot fi folosite in implementarea unui LAN . 

Cablurile in general vom folosi UTP categoria 5 acesta fiind momentan recomandat de standarde fiind tehnologia cea mai scalabila .Este un cablu alcatuit din patru perechi torsadate pentru eliminarea efectului de cross-talk .Din pacate este susceptibil de a fi sesnsibil la radiatia electromagnetica si chiar lumina de neon .Este recomandata de asemenea folosirea sa cu 
deosebita grija in ceea ce priveste respectarea dimensiunilor recomandate. 

Hubul

este un echipament de strat 1.Functiile sale sunt relativ simple : regenerarea semnalului primit pritr-un port si retransmiterea lui pe toate celelalte porturi.Nu face nici un fel de decizie in ceea ce priveste traficul .Poate avea mai multe porturi 4, 8,32 etc.Este un echipament ieftin . Se mai numeste si multiport repeater .este important de mentionat ca se inlocuieste prin folosirea sa vechea tehnologie de tip bus in care se utiliza cablul coaxial (acum nemaifiind recomandat de standarde).Exista multe firme care comercializeaza : 

 

Switchul este denumit si multiport bridge .In general combina caracteristicile unui hub ( are o multitudine de porturi ) cu cele ale uni bridge - opereaza la stratul 2 al modelului OSI 

Pentru a intelege cum opereaza un switch este foarte important de inteles structura unui frame aceasta fiind elementul cu care lucreaza acest echipament. 

Functiile sale sunt cam urmatoarele : 
. inspecteaza frameurile pe care le primeste pe un port , citeste adresa MAC sursa
. daca adresa este gasita ( daca nu o gaseste si-o noteaza in tabela de switching asociind-o cu portul pe care aceasata a sosit apoi ) citeste adresa MAC de destinatie
. daca aceasta este gasita se trimite frameul pe acel port
. daca nu este gasita frameul este trimis pe toate porturile in afara de cel pe care a sosit

Exista pe piata o multitudine de tipuri de switchuri .Ideea este ca toate implementeaza ceeea ce se numeste microsegmentatie adica stabilesc conexiuni virtuale dedicate intre masinile care comunica , domeniul de coliziune fiind astfel de dimensiunea 21 ceea ce este extrem de Sunt switchuri care au posibilitatea de VLAN2 si trunking aducand performante deosebite in proiectarea retelelor . Functiile unui switch sunt deosebit de importante in contextul in care se face trecerea la LANuri de capaciatate tot mai mare .In prezent se recomanda inlocuirea huburilor cu switchuri. Un alt factor care trebuie mentionat este existenta mai unor switchuri carora li se poate face un management strict si adaptat la cerintele unei anumite retele .In acest sens sunt si switchurile Catalyst 1900 produse de Cisco Systems Inc . in SUA.. In continuare am sa prezint captura de ecran preluata de la interfata sistemului de operare al unui switch Catalyst 1900 si am sa exemplific pe text modul in care poate fi configurat un asemenea switch. 

Configurarea unui switch se face prin conectarea acestuia printr-un port special al switchului ( console port ) la portul COM (1 sau 2) al unui PC cu un sistem de operare ca de exemplu Windows NT 4.0 ( eu pe acesta l-am folosit ) .Conectarea se face prin intermediului unui cablu UTP roll-over ( console cable ) . Interfata cu sistemul de operare se face prin intermediul utilitarului HyperTerminal stabilind o conexiune la o rata de 9600 bps .

Un subiect deosebit de actual in ceea ce priveste switchurile este utilizarea de VLANuri ( Virtual LAN ) .Termenul trebuie descris pentru ca am sa-l folosesc in proiectul meu deorece aduce imbunatatiri categorice in securitatea si eficienta retelelor ethernet. 

VLAN este o grupare logica de utilizatori si echipamente conectati administrativ la porturile unui switch .Mai exact VLANul permite realizarea intr-un switch a mai multor domenii de broadcast ( si coiliziune ) .Cel mai simplu este sa descriem pe o imagine in care avem trei VLANe pe o arhitectura de trei switchuri si un router 

Dupa cum se vede in imaginea de mai sus cele trei VLANe impart cele trei switchuri .Spre exemplu se poate ca VLAN 1 sa fie al departamentului de marketing , 2 al celui de vanzari iar ultimul aprtinand celui de salarii .Cu totate ca statiiel sunt introduse in porturile aceluiasi switch ele nu vor putea comunica intre ele decat daca sunt in acelasi VLAN sau daca exista un router care sa routeze intre VLANe .Cele trei switchuri pot sa fie la etaje diferite conditia este ca ele sa fie conectate intre ele . Comunicarea intre aceste switchuri se va face prin intermediul unui backbone ( in genere de minim 100 Mbps ) pe care se foloseste un protocol de trunking ( IEEE 802.1Q spre exemplu ) . 
Folosirea acestui mecanism in retele are avantajul deosebit ca degreveaza foarte mult reteaua de calculatoare de traficul generat de broadcast exagerat .Spre exemplu statiile Windows 98 isi pierd tabela ARP la o perioda de 2 minute dupa aceasta reinnoind-o prin generarea unor noi broadcasturi ( se obtin adresele MAC cunoscandu-se cele de IP ) .Un alt avantaj este cel  legat de securitate - cu toate ca sunt introdu-se in porturile aceluiasi switch statiile nu pot sa comunice fara acordul  dministratorului.Folosirea unui router este extrem de avntajoasa deorece aduce avantajele sale de securitate ca de exemplu folosirea ACLurilor.1 In logoul de mai jos se poate observa modul cum au fost repartizate porturile unui switch in dou VLANe 

Catalyst 1900 - VLAN Membership Configuration Port VLAN Membership Type 1 1 Static 7 1 Static 2 1 Static 8 1 Static 3 1 Static 9 2 Static 4 1 Static 10 2 Static 5 1 Static 11 2 Static 6 1 Static 12 2 Static
AUI 1 Static A 1 Static B 1 Static [M] Membership type [V] VLAN assignment [R] Reconfirm dynamic membership [X] Exit to previous menu Enter Selection: X

Routerul
 
 

este un echipament esential astazi atat in LANuri cat si in WANuri .Exitsta mai multe posibilitati de realiza un router , una dintre ele fiind folosirea unui PC simplu cu OS Linux si cu mai multe placi de retea .In continuare noi vom vorbi despre routerele dedicate realizate de Cisco si mai exact vom trata cu cele din seria 2500 ( tipurile 2501 si 2514 ) . 
Routerul este un echipament de strat 3 lucrand cu pachete si cu adrese IP ( in cazul folosirii TCP/IP-ului ) .Un router are doua functii principale 

1.Gaseste cea mai buna cale catre o anumita destinatie .Acest fenomen se produce utilizand route statice sau rounting protocoale ( RIP , IGRP , EIGRP , IS-IS, BGP ,etc).

2.Face switching de pachete intre diferiltele sale interfete spre exemplu daca a primit un pachet la nivelul interfetei ethernet e0 poate sa-l trimita mai departe catre destinatie prin intermediul interfetei seriale s0 .

Intreaga activitate de routing si switching routerul o desfasoaara folosind tabela de routing unde mapeaza retelele in care poate sa trimita pachete cu interfetele pe care trebuie sa faca switchingul pentru a ajunge in acele retele .Intrarile in tabela de routare se pot crea manual sau pot fi folosite routing protocoale care asigura o intrare dinamica in tabela de routare. 

Daca un router primeste un pachet pentru a carui destinatie nu are o ruta el va trimite acel pachet catre ceea ce se numeste default router care in prealabil va trebui configurat .Termenul este asemanator cu default gateway-ul pentru un computer .Daca default routerul nu este definit atunci atunci pachetul este descarcat si instiintata sursa acelui pachet. Routerul Cisco 2514 are doua interfete pentru ethernet ( conectorii sunt de tip AUI si necesita transceiveri pentru pentr UTP sau BNC in functie de necesitati - noi vom folosii pe cei pentru UTP ) si doua interfete seriale sincrone .Acestea se pot conecta folosind cblu serial V.35 acesta asigurand o rata a datelor de pana la 2 Mbps 1. 
Acest router mai are o interfata pentru consola ( console port ) si o interfata AUX ( pentru management prin intermediul unei perechi de modemuri ) .aceste doua interfete sunt de tip asincron si servesc ambel doar pentru monitorizare si management . 
Routerul 2501 este asemanator cu mentiunea ca nu are decat o interfata pentru ethernet . Legarea pentru management se face asemanator cu cea pentru switch .Trebuie mentionat ca se poate realiza conectarea la un router sau la un switch si prin intermediul telentului interfata fiind in mare masura asemantoare cu cea rezultata prin conectarea cu HyperTerminalul oferit de Windows.Mai exista de asemenea posibila conectarea prin intermediului unui browser dupa ce pe router a fost configurat un server de HTTP .Este o modalitate mai putin folosita. 
In continuare prezentam captura de configurare de router .Aceasta captura s-a realizat utilizand o retea de cinci routere disponibila la Cisco Academy Cluj-Napoca .Am captat de pe un singur router intitulat LAB_A .Am considerat ca nu este absolut necesar sa inser imaginea retelei respective , dar daca se doreste o imagine este disponibila la adresa https://antohe.tripod.com  la sectiunea despre autor si despre cursurile Cisco. 

LAB_A> LAB_A> LAB_A>ena Password: LAB_A#show ver Cisco Internetwork Operating System Software IOS (tm) 2500 Software (C2500-D-L), Version 12.0(4), RELEASE SOFTWARE (fc1) Copyright (c) 1986-1999 by cisco Systems, Inc. Compiled Wed 14-Apr-99 21:21 by ccai Image text-base: 0x03037C88, data-base: 0x00001000 ROM: System Bootstrap, Version 11.0(10c)XB2, PLATFORM SPECIFIC RELEASE SOFTWARE (fc1) BOOTFLASH: 3000 Bootstrap Software (IGS-BOOT-R), Version 11.0(10c)XB2, PLATFORM SPECIFIC RELEASE SOFTWARE (fc1) LAB_A uptime is 29 minutes System restarted by power-on System image file is 'flash:c2500-d-l.120-4' cisco 2500 (68030) processor (revision L) with 2048K/2048K bytes of memory. Processor board ID 13632757, with hardware revision 00000000 Bridging software. X.25 software, Version 3.0.0. 2 Ethernet/IEEE 802.3 interface(s) 2 Serial network interface(s) 32K bytes of non-volatile configuration memory. 8192K bytes of processor board System flash (Read ONLY) Configuration register is 0x2102

Routerul este o masina dedicata pentru internetworking care nu are nici un dispozitiv drive de tip disc ci doar memorii ( flash , RAM, ROM ).Configuratia care ruleaza la un moment dat poate fi evidentiata astfel : 

LAB_A#show running-config Building configuration Current configuration: version 12.0 service timestamps debug uptime service timestamps log uptime no service password-encryption hostname LAB_A boot system tftp lab_e 255.255.255.255 enable secret 5 $1$U6Sl$KyrDs01xZj2nCYdcyhgD6/ enable password ciscos username LAB_C password 0 cisco ip subnet-zero no ip source-route ip host lab-b 10.10.4.2 192.168.10.3 ip host lab-c 10.10.3.2 10.10.4.1 192.168.10.2 ip host lab-d 10.10.1.2 192.168.10.4 ip host tftp 172.27.191.5 ip name-server 193.226.5.35 ip name-server 193.226.5.38 ip name-server 193.226.5.33 file prompt quiet bridge irb interface Ethernet0 ip address 192.168.10.1 255.255.255.0 no ip directed-broadcast ip nat inside no ip route-cache no ip mroute-cache bridge-group 1 bridge-group 1 spanning-disabled interface Ethernet1 ip address 172.27.191.65 255.255.255.0 no ip directed-broadcast ip nat outside no ip route-cache no ip mroute-cache no mop enabled bridge-group 1 bridge-group 1 spanning-disabled interface Serial0 ip address 10.10.1.1 255.255.255.0 no ip directed-broadcast ip nat inside encapsulation ppp no ip route-cache no ip mroute-cache interface Serial1 bandwidth 56000 ip address 10.10.3.1 255.255.255.0 no ip directed-broadcast ip nat inside encapsulation ppp no ip route-cache no ip mroute-cache fair-queue 64 256 0 ppp authentication pap ppp pap sent-username LAB_A password 7 070C285F4D06 router igrp 100 network 10.0.0.0 network 172.27.0.0 network 192.168.10.0 ip default-gateway 172.27.191.1 ip nat inside source list nat-in interface Ethernet1 overload ip classless ip route 0.0.0.0 0.0.0.0 Ethernet1 dialer-list 1 protocol ip permit bridge 1 route ip line con 0 transport input none line aux 0 line vty 0 4 timeout login response 0 password pisica no login end

In continuare prezentam tabela de ARP aceasta fiind rezultatul folosirii protocolului ARP (Address Resolution Protocol ) prin care sunt gasite adresele MAC ale unor componente odata ce adresele IP sunt cunoscute ( prin utilizarea DNS-ului ). 

LAB_A#sh arp Protocol Address Age (min) Hardware Addr Type Interface Internet 172.27.191.65 - 0010.7b81.2ad1 ARPA Ethernet1 Internet 192.168.10.3 32 0050.736c.1b18 ARPA Ethernet0 Internet 192.168.10.1 - 0010.7b81.2ad0 ARPA Ethernet0

In continuare se indica ce protocol de routing este configurat in acest router .Dupa cum se vede avem IGRP ( Interior Gateway Routing Protocol ) , acesta fiind un protocol distancemetric Cisco proprietar .Ar mai trebui mentionat ca 100 reprezinta Autonomus System 1Se observa ca sunt trimise broadcasturi la un interval de 90 secunde pe trei retele mai jos precizate : 

LAB_A#sh ip prot Routing Protocol is 'igrp 100' Sending updates every 90 seconds, next due in 83 seconds Invalid after 270 seconds, hold down 280, flushed after 630 Outgoing update filter list for all interfaces is Incoming update filter list for all interfaces is Default networks flagged in outgoing updates Default networks accepted from incoming updates IGRP metric weight K1=1, K2=0, K3=1, K4=0, K5=0 IGRP maximum hopcount 100 IGRP maximum metric variance 1 Redistributing: igrp 100 Routing for Networks: Routing Information Sources: Gateway Distance Last Update Distance: (default is 100)

Rezultatul folosirii routing protocoalelor sau a rutelor manual definite sunt tabelele de routare .Acestea sunt stocate in memoria RAM si determina modul in care vor fi trimise pachetele. Din textul de mai jos se poate observa ca sunt prezentate retelele la care acces routerul .Se vede ca sunt doua posibilitati : fie ca este direct conectat la acele retele ( rutele marcate cu C ) fie ca sunt invatate in mod dinamic cu protocolul IGRP ( marcate cu I ).Pentru cea invata se precizeaza si o distanta de 100 adica pentru a atinge acea retea trebuie sa se treaca printr-un router intermediar .Tabela de routare : 

LAB_A#show ip route Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, * - candidate default U - per-user static route, o - ODR T - traffic engineered route Gateway of last resort is 0.0.0.0 to network 0.0.0.0 C 192.168.10.0/24 is directly connected, Ethernet0 172.27.0.0/24 is subnetted, 1 subnets C 172.27.191.0 is directly connected, Ethernet1 10.0.0.0/8 is variably subnetted, 5 subnets, 2 masks C 10.10.1.0/24 is directly connected, Serial0 C 10.10.3.2/32 is directly connected, Serial1 C 10.10.1.2/32 is directly connected, Serial0 C 10.10.3.0/24 is directly connected, Serial1 I 10.10.4.0/24 [100/4178] via 10.10.3.2, 00:00:01, Serial1 S* 0.0.0.0/0 is directly connected, Ethernet1

Urmatorul output demosnstreaza modul in care se poate configura o interfata ethernet si o interfata seriala pe un router Cisco .De precizat este faptul ca in cazul interfetelor seriale trebuie mentionata si incapsularea ( ppp, hdlc , frame-relay etc) . 

LAB_A#configure terminal Enter configuration commands, one per line. End with CNTL/Z. LAB_A(config)# interface ethernet 0 LAB_A(config-if)#ip address 192.168.10.1 255.255.2555­ ­.0 LAB_A(config-if)#description ? LINE Up to 80 characters describing this interface LAB_A(config-if)#description interfat­ LAB_A(config-if)#description interfata la reteaua de routere LAB_A(config-if)#no shutdown LAB_A(config-if)#exit LAB_A(config)# LAB_A(config)#interface serial 0 LAB_A(config-if)#ip address 10.10.10­ ­.1 255.255.255.0 LAB_A(config-if)#encap LAB_A(config-if)#encapsulation ppp LAB_A(config-if)#no shut LAB_A(config-if)#^Z LAB_A# 01:02:53: %SYS-5-CONFIG_I: Configured from console by console

Statutul unei interfete poate fi usor relevat folosind comanda "show interfaces " dupa cum ilustreaza exemplul de mai jos. 
 

LAB_A#show interfaces Ethernet0 is up, line protocol is up Hardware is Lance, address is 0010.7b81.2ad0 (bia 0010.7b81.2ad0) Description: interfata la reteaua de routere Internet address is 172.27.191.65/24 MTU 1500 bytes, BW 10000 Kbit, DLY 1000 usec, rely 255/255, load 1/255 Encapsulation ARPA, loopback not set, keepalive set (10 sec) ARP type: ARPA, ARP Timeout 04:00:00 Last input 00:00:01, output 00:00:00, output hang never Last clearing of 'show interface' counters never Queueing strategy: fifo Output queue 0/40, 0 drops; input queue 0/75, 0 drops 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 1000 bits/sec, 1 packets/sec 1485 packets input, 139928 bytes, 0 no buffer Received 360 broadcasts, 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 0 input packets with dribble condition detected 5972 packets output, 761163 bytes, 0 underruns 0 output errors, 0 collisions, 3 interface resets 0 babbles, 0 late collision, 0 deferred 0 lost carrier, 0 no carrier 0 output buffer failures, 0 output buffers swapped out Serial0 is up, line protocol is up Hardware is HD64570 Internet address is 10.10.1.1/24 MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec, rely 255/255, load 1/255 Encapsulation PPP, loopback not set, keepalive set (10 sec) LCP Open Open: IPCP, CDPCP Last input 00:00:18, output 00:00:12, output hang never Last clearing of 'show interface' counters never Input queue: 0/75/0 (size/max/drops); Total output drops: 0 Queueing strategy: weighted fair Output queue: 0/1000/64/0 (size/max total/threshold/drops) Conversations 0/1/256 (active/max active/max total) Reserved Conversations 0/0 (allocated/max allocated) 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec 133 packets input, 21996 bytes, 0 no buffer Received 8 broadcasts, 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 275 packets output, 33016 bytes, 0 underruns 0 output errors, 0 collisions, 3 interface resets 0 output buffer failures, 0 output buffers swapped out 2 carrier transitions DCD=up DSR=up DTR=up RTS=up CTS=up

ACL ( Access Control List ) 

sunt niste mecanisme extrem de utile in ceea ce priveste asigurarea securitatii retelelor .ACL urile pot fi folosite doar cu routerul , mai exact se aplica pe interfetele acestuia . Ca definitie : ACL reprezinta o succesiune de declaratiii de tip admis / respins care se palica pe interfetele unui router pentru a admite sau respinge un enumit tip de trafic .citirea si aplicarea acestor declaratii o face routerul in mod secvential atunci cand inspecteaza un pachet .Printre avantajele folosirii ACLurilor sunt : posibilitatea de a asigura un control al traficului , scaderea traficului inutil in retea ducand astfel la imbunatatirea benzii disponibile , posibilitatea de a preciza exact tipul traficului permis sau interzis in functie de porturi si adresa de IP 1 . 

Exista o multitudine de tipuri de ACLuri , in aceasta lucrare ne vom ocupa de ACL pentru IP si anume de cele extinse .Acestea pot fi folosite pentru a limita traficul in functie de porturi si si adresele IP de destinatie sau sursa .Ma gandesc ca cel mai bine de explicat modul in care pot fi acestea folosite se face prin folosirea unui exemplu practic. Logarea la portul de consola al routerului 
 

Press RETURN to get started. LAB_A>enable Password:

Se cere routerului sa afiseze daca sunt ACLuri configurate in acest moment .se observa ca 
nu sunt. 

LAB_A#show access-lists LAB_A#

Se intra in modul de configurare si se configureaza un ACL 120 .Acesta va fi alcatuit din doua declaratii : prima respinge orice pachet care are ca sursa reteaua 172.27.191.0 si se adreseaza oricarei destinatii pentru portul de telnet (23).A doua declaratie permite orice pachet care are ca surasa reteaua 192.168.10.0 , se adreseaza oricarei destinatii pentru portul de telnet .Implicit orice alt tip de pachet este respins . 

LAB_A#configure terminal Enter configuration commands, one per line. End with CNTL/Z. LAB_A(config)#access-list 120 deny tcp 172.27.191.0 0.0.0.255 any eq telnet LAB_A(config)#access-list 120 permit tcp 192.168.10.0 0.0.0.255 any eq telnet

Se asigneaza acest ACL pentru intrarile de telnet pe router 
LAB_A(config)#line vty 0 4 LAB_A(config-line)#access-class ? <1-199> IP access list <1300-2699> IP expanded access list LAB_A(config-line)#access-class 120 ? in Filter incoming connections out Filter outgoing connections LAB_A(config-line)#access-class 120 in LAB_A(config-line)#access-class 120 in LAB_A(config-line)#exit

Se asigneaza ACLul si pentru interfata seriala s0 pentru pachetele care intra pe aceasta interfata : 

LAB_A(config)#interface serial 0 LAB_A(config-if)#ip access-group 120 in LAB_A(config-if)#exit LAB_A(config)#exit

Dam iarasi comanda de afisare a ACLului iar rezultatul este pozitiv 

LAB_A#sh 04:27:08: %SYS-5-CONFIG_I: Configured from console by consoleacc % Ambiguous command: 'sh acc' LAB_A#sh access-l Extended IP access list 120 deny tcp 172.27.191.0 0.0.0.255 any eq telnet permit tcp 192.168.10.0 0.0.0.255 any eq telnet permit tcp 10.0.0.0 0.0.0.255 any eq telnet

Anulam ACLul . 

LAB_A#configure terminal LAB_A(config)#no access-list 120 LAB_A(config)#^Z LAB_A#sh 04:28:31: %SYS-5-CONFIG_I: Configured from console by console