Cap 1 - Introducere

WAN = o retea de date care opereaza dincolo de aria de acoperire geografica a unui LAN.Ca sa poata folosi un WAN, o companie trebuie sa se aboneze la un service provider de WAN (in general WAN-ul nu este detinut de companie, fata de LAN, care este detinut de companie).In general pe WAN sunt transportate diferite tipuri de trafic: date, voce, video.

3 caracteristici majore ale WAN-ului:- de regula conecteaza device-uri separate de o arie geografica mai mare decat poate acoperi un LAN- WAN-urile folosesc serviciile unui carrier (care poate fi o companie de telefonie, tv prin cablu, sistem satelit sau provider de retea)- WAN-urile folosesc conectori seriali de diferite tipuri

WAN-urile sunt folosite pentru comunicarea pe distante mari.

Modelul de design ierarhic- access layer - daca in LAN permitea accesul la retea al statiilor de lucru si al serverelor, in WAN permite accesul teleworkerilor sau al site-urilor remote la reteaua corporatiei- distribution layer - agrega wiring closets folosind switchuri, pentru a segmenta grupurile (de lucru) si a izola problemele retelei intr-un campus. In WAN este similar, layerul distribution agrega conexiunile WAN la edge (marginea) campusului si furnizeaza conectivitate pe baza politicii (policy-based connectivity). - core layer / backbone - un backbone (coloana vertebrala) de viteza mare, care este gandit sa switch-uiasca pachetele cat mai repede posibil. Pentru ca core-ul este critic pentru conectivitate, trebuie sa ofere un nivel mare de disponibilitate (availability) si sa se adapteze la schimbari foarte rapid. De asemenea ofera scalabilitate si convergenta rapida.

Diferite afaceri au nevoie de tipuri de retele diferite, in functie de organizare si obiective. Ca reteaua pe care o administrezi sa nu devina prea dezorganizata, Cisco recomanda Cisco Enterprise Architecture. Aceasta ofera repere pentru dezvoltarea retelei in fazele evolutive ale unei companii. Exemple de module ale arhitecturii:- Enterprise Campus Architecture- Enterprise Branch Architecture- Enterprise Data Center Architecture- Enterprise Teleworker Architecture

WAN-urile si modelul OSIWAN-urile opereaza la layerele 1 si 2.

La layerul 1 protocoalele descriu cum sa furnizeze conexiuni? electrice, mecanice, operationale si functionale serviciilor unui service provider de comunicatii. >>> cam ciudata forma de exprimare...

86

La layerul 2 protocoalele definesc modul de incapsulare a datelor pentru a fi transmise locatiilor remote si mecanismul de transferare a frame-urilor rezultate. Sunt folosite tehnologii diferite, ca Frame Relay sau ATM. Unele dintre aceste protocoale folosesc acelasi mecanism de frame-uire de baza, High-Level Data Link Control [HDLC], care este standard ISO, sau una dintre derivatiile / variantele acestuia.

Terminologia WAN pentru layerul fizicDe obicei infrastructura pentru WAN nu apartine companiei, ci unui service provider de WAN, la care compania trebuie sa se abonez, ca sa poata folosi WAN-ul.

Customer Premises Equipment [CPE] = echipamentele si cablurile abonatului (fie proprietare, fie inchiriate) (prin) care se conecteaza la carrier.Data Communications Equipment [DCE] = [data circuit terminating equipment] e alcatuit din device-urile care pun date pe local loop. Furnizeaza o interfata care conecteaza abonatii la un link de comunicatie din cloud-ul WAN.Data Terminating Equipment [DTE] = device-ul clientului care trimite datele catre WAN. Se conecteaza prin DCE la local loop.Demarcation Point [DP] = punctul de la care se separa echipamentele clientului de cele ale providerului. Fizic, punctul de demarcare este cutia cu cabluri de jonctiune care se afla la client, care conecteaza cablurile CPE la local loop. Este pusa in asa fel incat un tehnician sa aiba acces usor la ea. Punctul de demarcare separa responsabilitatile pentru conexiune. Local Loop = cablul de telefon? din cupru sau fibra care conecteaza CPE al clientului la Central Office [CO] al providerului. Local loop se mai numeste si last-mile.Central Office = un edificiu (facility) sau o cladire a providerului unde cablurile de telefonie locala se leaga de liniile de comunicatie de mare distanta, digitale, prin fibra optica, printr-un sistem de switch-uri si alte echipamente.

Device-uri WAN:Modem - moduleaza un semnal analog de carrier pentru a coda informatia si demoduleaza semnalul carrier pentru a decoda informatia transmisa. CSU/DSU - liniile digitale, ca liniile de carrier T1 si T3, necesita un channel service unit [CSU] si un data service unit [DSU]. Cele 2 sunt deseori combinate intr-un singur echipament, numit CSU/DSU. CSU furnizeaza terminatia pentru semnale digitale si asigura integritatea conexiei prin corectarea erorilor si monitorizarea liniei. DSU converteste frame-urile liniei T-carrier in frame-uri care pot fi interpretate de LAN si invers. Access server - concentreaza comunicarea in si out a userilor. Un access server poate avea o mixtura de interfete analogice si digitale si poate suporta sute de useri simultan.WAN switch - un device multiport interretele folosit in retelele carrier. De obicei acest device comuta (switch) traficul Frame Relay, ATM sau X.25 si opereaza la layerul Data Link al stivei OSI. Switchurile Public Switched Telephone Network [PSTN] pot fi folosite si in cloud pentru conexiuni cu comutare de circuite ca Integrated Service Digital Networks [ISDN] sau dialup analog.Router - furnizeaza porturi pe interfetele de acces pentru conectivitatea interretele si WAN, folosite pentru conectarea cu service providerul. Aceste interfete pot folosi interfete seriale sau alt tip de interfete WAN. Pentru unele tipuri de interfete WAN este necesar un device extern

86

(DSU/CSU sau modem analog, cable sau DSL) ca sa conecteze routerul cu punctul de prezenta locala [POP] al providerului. Core router - se afla in mijlocul sau in backbone-ul WAN. Trebuie sa fie capabil sa suporte multiple interfete de telecomunicatii la cea mai mare viteza din core-ul WAN si trebuie sa poata forwarda pachete IP la full speed pe celelalte interfete. In plus trebuie sa suporte si protocolul de rutare folosit in core.

Standarde WAN la layerul fizic:- EIA/TIA-232: signal speed de 64 bps si D-connector cu 25 de pini. A fost numit RS-232. Specificatia ITU-T V.24 este efectiv acelasi lucru.- EIA/TIA-449/530 - este varianta mai rapida a lui EIA/TIA-232, transmite cu 2 Mbps, foloseste D-connector cu 36 pini, cablul poate fi mai lung, standardul mai este cunoscut ca RS422 si RS423.- EIA/TIA-612/613 - descrie protocolul High-speed serial interface [HSSI]. Are viteza de transfer pana la 52 Mbps si foloseste D-connector cu 60 pini. - V.35 este standardul ITU-T pentru comunicarea sincrona dintre un device de network access si o retea cu pachete. Viteza originala/initiala a fost de 48 kbps, acum este de 2.048 Mbps; foloseste un conector dreptunghiular cu 34 pini.- X.21 - este standard ITU-T, e folosit pentru comunicarea digitala sincrona; foloseste un D-conector cu 15 pini.

Alegerea protocolului este determinata in mare masura de metoda de facilitare a service providerului.

Terminologia WAN pentru layerul Data LinkProtocoalele data link: in afara de device-urile WAN de layer fizic, sunt necesare si protocoale data link, care stabilesc legatura emitator-receptor de-a lungul canalelor de comunicatie. Protocoalele data link definesc modul in care sunt incapsulate datele pentru transmisie si mecanismul de transferare a frame-urilor rezultate. Sunt folosite o varietate de tehnologii, ca: Frame Relay, ISDN sau ATM. Multe dintre aceste protocoale folosesc acelasi mecanism de framing (sau variatii) - HDLC-ul, care este un standard ISO. ATM-ul este diferit de celelalte protocoale, el foloseste celule de dimensiune fixa, de 53 bytes (48 bytes de date), fata de celelalte tehnologii packet-switched, care folosesc pachete cu dimensiune variabila. Cele mai intalnite protocoale data link de WAN sunt:- HDLC- PPP- Frame Relay- ATM

ISDN si X.25 sunt protocoale mai vechi, care acum sunt mai putin folosite. Cu toate astea, protocolul ISDN este inca tratat in acest curs, pentru ca este folosit pentru retelele VoIP prin linkuri PRI. Si X.25 este in uz in tarile in dezvoltare, pentru trimiterea datelor tranzactiilor cu card de la retaileri prin packet data network [PDN]

Nota: mai exista si protocolul Multiprotocol Label Switching [MPLS], care este o solutie economica pentru transportul traficului de retea cu comutare de circuite si cu comutare de

86

pachete. Poate opera peste orice tip de infrastructura existenta, cum ar fi: IP, Frame Relay, ATM sau Ethernet. Pentru ca sta intre Layerul 2 si Layerul 3, este considerat protocol de Layerul 2.5. MPLS nu este tratat in acest curs, ci in CCNP.

Incapsularea WANFiecare tip de conexiune WAN foloseste un protocol de layer 2 ca sa incapsuleze pachetul care traverseaza linkul WAN. Multe protocoale sunt dezvoltate pe HDLC, pentru ca acesta este aparut de mult timp (din 1979).

Formatul de incapsulare al frame-urilor WAN:Frame-urile incep si se termina cu un flag field pe 8 biti, cu patern-ul 01111110.Frame-ul are urmatoarele campuri:Flag | Header | Data | FCS | Flag

Header-ul are urmatoarele campuri:Address | Control | Protocol

Campul de adresa nu este necesar, pentru ca linkurile WAN sunt in general point-to-point. Totusi el exista si are 1-2 byti.

Campul de control are 1 byte si arata tipul continutului: informatie de control sau date de la layerul network.

Campul Protocol indica protocolul de layer 3 catre care este directionat.

Circuit switching / comutarea circuitelorO retea cu comutare de circuite stabileste un circuit (canal) dedicat intre noduri inainte ca terminalele sa fie capabile sa comunice. Pentru ca acest canal este partajat de mai multe conversatii, se foloseste Time Division Multiplexing [TDM] ca sa le asigure fiecareia o parte a conexiunii, pe rand. TDM asigura ca o capacitate fixa a conexiunii este alocata fiecarui abonat.

Pentru circuitele care transporta date (de computer, nu de telefon), utilizarea unei capacitati fixe nu este eficienta. De exemplu, daca cineva acceseaza o pagina de internet, va genera un trafic momentan mare, cat se incarca pagina, apoi nu va mai genera trafic pana cand nu va cere pagina urmatoare. Traficul normal pentru retelele de calculatoare este o variatie intre nimic si maxim :D . Pentru ca abonatul este unicul care foloseste alocarea fixa, switched circuits sunt in general un mod scump de a transfera date. PSTN si ISDN sunt 2 tipuri de tehnologii de circuit-switching care pot fi folosite pentru WAN-ul unei companii (enterprise).

Packet switching / comutarea pachetelorPachetele sunt rutate peste o retea share-uita. Nu mai este necesar sa se creeze un circuit. Pe baza adresei din fiecare pachet, switchurile determina care este urmatorul link pe care trimit pachetele. Sunt 2 abordari in determinarea linkului:- connectionless

86

- connection-orientedIn cazul sistemelor connectionless fiecare pachet contine intreaga adresa. Fiecare switch evalueaza adresa pentru a determina unde sa trimita pachetul.In cazul sistemelor connection-oriented intai se determina (se predetermina) ruta pentru pachete, iar pachetele care vor fi trimise trebuie sa contina doar un identificator. In cazul Frame Relay acestia se numesc Data Link Control Identifiers [DLCIs].Pentru ca linkurile sunt share-uite, costurile sunt mai mici, iar delay-ul este mai mare (latenta si jitter-ul) fata de circuit-switched networks.

Circuite virtuale [VC]Retelele packet-switched pot stabili rute prin switchuri pentru anumite conexiuni end-to-end. Aceste rute se numesc circuite virtuale. Un circuit virtual este un circuit logic creat in cadrul unei retele share-uite, intre 2 device-uri de retea. Exista 2 tipuri de circuite virtuale:- permanent virtual circuit [PVC] - switched virtual circuit [SVC]PVC sunt folosite cand transferul de date dintre device-uri este constant. PVC-ul scade utilizarea bandwidth pentru stabilirea si terminarea VC, dar creste costul datorita disponibilitatii acestui circuit. In general PVC sunt configurate de service provider, la cererea clientului.SVC este stabilit dinamic, la cerere, si se termina cand s-a finalizat transmisia. Comunicarea peste un SVC are 3 faze: stabilirea / realizarea circuitului, transferul de date, terminarea / eliminarea circuitului. SVC-urile sunt folosite cand transmisia de date dintre device-uri este intermitenta, cel mai des ca sa reduca din costuri.

Conectarea la o retea packet-switched se face prin bucla locala pana la cea mai apropiata locatie unde providerul furnizeaza acest serviciu. Locatia se numeste point of presence [POP]. Exemple de conexiuni packet/cell -switched: X.25, ATM, Frame Relay.

Optiuni de conectare WAN:

WAN:- privat:

dedicat: leased-lineswitched:

circuit-switched: ISDN, PSTNpacket-switched: Frame Relay, X.25, ATM, Metro Ethernet

- public - Internet - Broadband VPN: DSL, Cable, Broadband Wireless

I. Leased-line: costa mai mult, dar au delay si jitter mic. Este nevoie de cate un port serial de router pentru fiecare linie inchiriata + un CSU/DSU si un circuit de la service provider.Dezavantaje: cost mare, capacitate fixa - care nu este utilizata eficient, si pentru ca fiecare endpoint are nevoie de o interfata fizica de router separata pot rezulta costuri mari ale echipamentelor. Orice schimbare a liniei inchiriate in general necesita ca site-ului sa fie vizitat de catre carrier.

II. Circuit-switched:

86

a) Dialup analog:Cand ai nevoie sa transmiti volume mici de date, intermitent, modemurile si liniile de telefonie dialed analog furnizeaza o capacitate redusa si conexiuni switch-uite dedicate.Avantaje: disponibilitate, simplitate si costuri mici de implementare.Dezavantaje: rata de transfer mica (56 kbps) si timp de conectare relativ mare. Desi are jitter si delay mic, traficul de voce si video nu opereaza adecvat datorita vitezei de transfer mica.b) ISDN e o tehnologie circuit-switching care permite ca bucla locala a unei PSTN sa transporte semnale digitale, ceea ce duce la capacitati mai mari ale conexiunii. ISDN schimba conexiunea interna a unei PSTN de la semnale analog(ice) la semnale digitale TDM [Time Division Multiplexed]. TDM permite ca 2 sau mai multe semnale / streamuri de biti sa fie transferate ca subcanale intr-un canal de comunicare. ISDN transforma bucla locala intr-o conexiune digitala TDM, care transporta 64 kbps per bearer channel (B channel) si un canal de semnalizare delta [D].Sunt 2 tipuri de interfete ISDN:- Basic Rate Interface [BRI] care are 2 B-channel x 64 kbps si 1 D-channel de 16 kbps, pentru control- Primary Rate Interface [PRI] care are 23 B-channels x 64 kbps si 1 D-channel de 64 kbps, pentru America de Nord => 1.544 Mbps. In Europa, Australia si in alte parti ale lumii, ISDN PRI ofera 30 B-channels si 1 D-channel, rezultand 2.048 Mbps. PRI in America de Nord corespunde unei conexiuni T1; PRI pentru celelalte parti ale lumii corespunde unei conexiuni E1 sau J1.

III. Packet-switcheda) X.25Este un protocol de layer Network mostenit, care ofera abonatilor adresa de retea. Circuite virtuale pot fi setate de-a lungul retelei prin pachete de call requests catre adresa tinta. SVC-ul rezultat este identificat printr-un numar de canal. Pachetele de date etichetate (labeled) cu numarul de canal sunt livrate la adresa corespunzatoare. Mai multe canale pot fi active pe o conexiune.Folositea obisnuita a X.25 este pentru cititoarele de carduri de la punctele de vanzare. Viteza lui X.25 variaza intre 2400 bps si 2 Mbps. Retelele publice au in general viteza mica, ce rareori depaseste 64 kbps. Retelele X.25 sunt acum intr-un declin dramatic, fiind inlocuite de noile tehnologii de layer 2, ca Frame Relay, ATM si ADSL. b) Frame RelayChiar daca layerul network pare similar cu cel al X.25, Frame Relay difera de X.25 in mai multe moduri. Cel mai important, este un protocol mult mai simplu, care lucreaza la layerul data link in loc de layerul network. Frame Relay nu implementeaza controlul erorilor si al fluxului. Gestionarea simplificata a frame-urilor duce la o latenta redusa si masurile luate pentru evitarea construirii frame-urilor la switch-urile intermediare reduc jitter-ul. Frame Relay ofera rate de transfer pana la 4 Mbps (unii provideri oferind rate mai bune).Circuitele virtuale Frame Relay sunt identificate in mod unic printr-un DLCI, care asigura comunicarea bidirectionala intre device-urile DTE. Cele mai multe conexiuni Frame Relay sunt PVC (fata de SVC).Frame Relay furnizeaza conectivitate permanenta, bandwidth mediu, shared, care transporta trafic de voce si de date. Frame Relay este ideal pentru conectarea LAN-urilor enterprise.

86

Routerele din LAN au nevoie de o singura interfata, chiar daca sunt folosite mai multe circuite virtuale. Linia inchiriata scurta pana la reteaua Frame Relay permite conexiuni eficiente dpv cost intre LAN-uri foarte raspandite / imprastite.c) ATMATM = asynchronous transfer modeEste o tehnologie capabila sa transfere date, voce si video prin retele publice si private. Este construita pe o arhitectura bazata pe celule, fata de cea bazata pe frame-uri. Intotdeauna o celula ATM are o dimensiune fixa, de 53 bytes, din care 5 bytes sunt pentru header, restul sunt pentru date. Celulele ATM sunt mai putin eficiente ca frame-urile mai mari ale Frame Relay si X.25. La fiecare 48 bytes de date, ele au un overhead de 5 bytes, ceea ce duce la un overhead mare pentru cantitati mari de date. La acelasi volum de date, ATM are nevoie de un bandwidrh cu 20% mai mare ca Frame Relay sau X.25. ATM a fost proiectat sa fie foarte scalabil, si supporta viteze ale linkului de la T1 (1.544 Mbps), pana la OC-12 (622 Mbps) sau chiar mai mult. ATM ofera PVC si SVC, cu toate ca PVC este mai intalnit in WAN. La fel ca alte tehnologii shared, si ATM ofera mai multe circuite virtuale pe o singura linie inchiriata pana la network edge.

IV. WAN - public - Internet1. Servicii broadband:Optiunile de conectare broadband sunt in general folosite pentru a conecta angajatii telecommuting la un site corporate peste internet. Aceste optiuni includ DSL, cablu, wireless.

a) Tehnologia DSL este o tehnologie de conectare always-on care foloseste liniile de telefonie twisted pair ca sa transporte date la bandwidth ridicat si sa furnizeze servicii IP abonatilor. Un modem DSL converteste semnalul Ethernet al device-ului userului in semnal DSL, pe care il transmite la central office [CO]. La locatia providerului mai multe linii ale abonatilor DSL sunt multiplexate intr-un singur link de capacitate mare prin folosirea unui DSL access multiplexer [DSLAM]. DSLAM-urile incorporeaza tehnologia TDM pentru a agrega mai multe linii ale abonatilor intr-o singur mediu, de obicei o conexiune T3 / DS3. Tehnologiile curente de DSL folosesc tehnici sofisticate de codare si modulare si ajung la rate de transfer de pana la 8.129 Mbps.

b) Cable modem Cablul coaxial este foarte folosit in zonele urbane pentru a distribui semnal TV. Accesul la retea este posibil prin unele retele de televiziune prin cablu. Aceasta permite un bandwidth mai mare decat cel prin bucla locala a telefoniei conventionale. Cable modem ofera o conexiune always-on si un mod simplu de instalare. Abonatul conecteaza un computer sau un LAN router la modem, care traduce semnalele digitale in frecventa de broadband folosita pentru transmisia pe reteau de televiziune prin cablu. Biroul local al televiziunii prin cablu - care se mai numeste si cable headend - contine sistemul de computere si baze de date care furnizeaza accesul la internet. Cea mai importanta componenta din headend este cable modem termination system [CMTS], care trimite si primeste semnale digitale prin cable modem pe retea si este necesara ca sa furnizeze servicii internet abonatilor. Abonatii trebuie sa foloseasca ISP-ul asociat service providerului si in plus, pe masura ce sunt

86

mai multi abonati, bandwidth-ul se imparte la toti, ceea ce poate avea ca rezultat un bandwidth sub asteptari.

c) Wireless broadbandTehnologia wireless foloseste spectrul de frecvente radio nelicentiate pentru a trimite si primi date. Acest spectru nelicentiat este accesibil oricui are echipamentul necesar.Pana de curand o limitare a accesului la wireless era ca trebuia sa te afli in aria de acoperire a transmisiei locale. Acest lucru este schimbat de dezvoltarea tehnologiei de broadband wireless:- municipal WiFi: acoperire wireless la nivelul orasului si acces la retea gratuit sau la tarife modice. Alte retele wireless sunt disponibile doar politiei, pompierilor, sau altor angajati ai orasului. - WiMAX - worldwide interoperability for microwave access este definit in standardul IEEE 802.16. Furnizeaza servicii broadband la viteze mari cu acces wireless si furnizeaza acoperire mare, similar cu retelele de telefonie. WiMAX functioneaza similar cu WiFi, dar la viteze mai mari, peste distante mai mari si pentru un numar mai mare de utilizatori. Foloseste o retea de turnuri WiMAX, similar cu turnurile de telefonie. Ca sa acceseze WiMAX abonatii trebuie sa aiba turnul unui ISP la mai putin de 10 mile, au nevoie de un computer capabil sa acceseze WiMAX si au nevoie de un cod special de criptare. - Satellite InternetEste folosit in general in zonele rurale, unde cablul si DSL-ul nu sunt disponibile. Antena satelit ofera viteze de 10 ori mai mari ca modemul analog, cu o viteza de upload cam de 1/10 din 500 kbps (50 kbps).

2. Tehnologia VPN Riscuri de securitate apar cand un teleworker sau un remote office foloseste servicii broadband ca sa acceseze WAN-ul corporate peste Internet. Ca sa adreseze problemele de securitate, serviciile de broadband ofera capabilitati pentru utilizarea conexiunilor Virtual Private Network [VPN] la un server VPN, aflat de regula in site-ul corporatiei.Un VPN este o conexiune criptata intre 2 retele private peste o conexiune publica cum este Internetul. In loc sa foloseasca o conexiune dedicata de layer 2, cum sunt liniile dedicate, un VPN foloseste conexiuni virtuale numite tunele VPN, care sunt rutate prin internet, de la reteaua privata a companiei la site-ul remote sau hostul angajatului.

Beneficii:- reducerea costurilor (nu mai folosesti linkuri de WAN dedicate si grupuri de modemuri)- securitate (prin protocoale de criptare si autentificare)- scalabilitate - compatibilitate cu tehnologia broadband

Tipuri de acces VPN:- site-to-site VPN conecteaza retele intregi, una la alta; fiecare locatie are un VPN gateway (router, firewall, VPN concentrator, security appliance)- remote-access VPN permite hosturilor individuali (telecommuteri, mobile users, extranet consumers) sa acceseze securizat, peste Internet, reteaua companiei. Fiecare host ruleaza (de regula) un software de client VPN sau foloseste un clent web-based.

86

3. Metro EthernetEste o tehnologie de retea cu o maturizare rapida, care largeste Ethernetul catre retelele publice, controlate de telco (telecommunication companies). Beneficii:- reducerea cheltuielilor si administrarii - tehnologia permite conectarea site-urilor din aceeasi arie metropolitana- integrare usoara cu retelele existente- imbunatatirea productivitatii

***********************************************************

Cap 2 - PPP

Conexiunea Point-to-Point este una din cele mai cunoscute conexiuni WAN. Este folosita sa conecteze LAN-urile la WAN-urile service providerilor si sa conecteze segmente de LAN din retelele enterprise. O conexiune LAN-to-WAN point-to-point se mai numeste conexiune seriala sau leased-line pentru ca liniile sunt inchiriate de la un carrier (in general o companie de telefonie) si sunt dedicate companiei care le-a inchiriat.

Protocolul Point-to Point [PPP] furnizeaza un mod de gestionare simultana a conexiunilor multiprotocol LAN-to-WAN: TCP/IP, IPX si AppleTalk. Poate fi folosit peste twisted pair, fibra optica sau comunicare prin satelit. PPP furnizeaza transport peste ATM, Frame Relay, ISDN si linkuri optice. Securitatea se realizeaza prin Password Authentication Protocol [PAP] si prin Challenge Handshake Authentication Protocol [CHAP].

Introducere in comunicarea serialaCa sa trimiti bitii mai rapid prin fir poti fie sa compresezi datele si sa ai de trimis mai putini biti, fie sa ii trimiti simultan. Comunicarea paralela vs comunicarea seriala:- pe o conexiune seriala datele sunt trimise pe 1 fir, cate 1 bit o data. Conectorii seriali cu 9 pini folositi de majoritatea computerelor folosesc 2 bucle pe fir, cate 1 pentru fiecare directie, plus fire aditionale ca sa controleze fluxul de informatii. In oricare directie datele curg tot pe un singur fir.- o conexiune paralela trimite bitii simultan pe mai multe fire. In cazul unui port paralel cu 25 pini, sunt 8 fire care transporta 8 biti simultan. Teoretic, o conexiune paralela trimite 8 biti (1 byte) in timpul in care o conexiune seriala trimite doar 1 bit.

Datorita clock skew si crosstalk interferences [* skew = asimetric, inclinat] linkurile seriale pot atinge rate de transfer mai mari.

Clock skew = in conexiunile paralele bitii nu pot fi trimisi chiar simultan, nici nu ajung la destinatie simultan. Din aceasta cauza emitatorul trebuie sa citeasca, sa astepte, sa faca latch (zavorasca?), sa astepte semnalul de clock si sa transmita cei 8 biti. In felul acesta se adauga timpi pentru realizarea transmisiei. Un latch este un sistem de pastrare a datelor (data storage)

86

folosit pentru a pastra informatiile intr-un sistem de secventa logica. Cu cat linkul este mai lung si cu cat sunt mai multi pini, creste delay-ul. Aceasta problema nu este intalnita in cazul linkurilor seriale, pentru ca cele mai multe dintre ele nu au nevoie de ceas / clock. Conexiunile seriale necesita mai putine fire si cabluri. Ocupa un spatiu mai mic si pot fi mai bine izolate de interferente.Crosstalk = influenta semnalelor unul asupra celuilalt (interferenta). Cu cat creste frecventa, cu atat trebuie mai multa procesare pentru crosstalk. Pentru ca linkurile seriale au mai putine fire, este mai putin crosstalk, si device-urile de retea transmit comunicarea seriala la frecvente mai mari.

In cele mai multe cazuri implementarea comunicarii seriale este mai ieftina (foloseste mai putine fire, cabluri mai ieftine si mai putini pini).

Standarde de comunicare seriala:Toate comunicarile la distanta mare si cele mai multe retele de calclatoare folosesc conexiuni seriale, pentru ca costul cablurilor si dificultatile de sincronizare fac sa fie nepractica conexiunea paralela.Cel mai semnificativ avantaj este cablarea simpla. De asemenea cablurile seriale pot fi mai lungi ca cele paralele, pentru ca sunt mult mai putine interferente intre conductorii din cablu. In comunicarea prin WAN, acelasi protocol de comunicare trebuie folosit la trimiterea si la receptionarea frame-urilor.

Standarde cheie de comunicare seriala LAN-WAN:a) RS-232: cele mai multe porturi seriale ale PC-urilor sunt conforme cu acesta sau cu variantele mai noi (RS-232C, RS-422. RS-423). Sunt folositi conectori cu 9 si cu 25 de pini. Un port serial este o interfata care poate fi folosita pentru aproape orice device, inclusiv modemuri, mousi, imprimante. Multe device-uri de retea folosesc RJ-45, care de asemenea este conform cu RS-232 (ei na!? cum asa?)b) V.35: este in general folosit pentru comunicarile dintre modem-multiplexor, este standard de viteza mare al ITU, transporta date sincronizat si combina bandwidth-ul mai multor circuite de telefonie. In USA este interfata standard folosita de cele mai multe routere si DSU pentru conectarea la carrierii T1. Cablurile V.35 sunt linii seriale proiectate sa suporte ratele de transfer mari si comunicatiile intre DTE si DCE peste liniile digitale. c) HSSI: high-speed serial interface, suporta rate de transfer de pana la 52 Mbps. Sunt folosite pentru a conecta routerele din LAN la WAN peste linii high-speed gen T3. De asemenea este folosit pentru a furniza conectivitate de viteza mare intre LAN-uri, folosind Token Ring sau Ethernet. HSSI este o interfata DTE/DCE dezvoltata de Cisco Systems si T3plus Networking pentru a adresa nevoia de comunicatii de viteza mare peste WAN.

Aceste standarde nu numai ca folosesc diferite metode de semnalizare, dar folosesc si diferite tipuri de cabluri si conectori. Fiecare standard joaca un rol diferit in topologia LAN-WAN.

Functiile celor 9 pini ai conectorul RS-232:pinul 1: data carrier detect [DCD] arata ca carrierul pentru transmisia de date este onpinul 2: pinul receptor [RXD] transporta datele de la device-ul serial la computerpinul 3: pinul transmitator [TxD] transporta datele de la computer la device-ul serial

86

pinul 4: data terminal ready [DTR] ii indica modemului ca computerul este pregatit sa transmita. pinul 5: ground (impamantare)pinul 6: data set ready [DSR] este similar cu DTR. Arata ca dataset este on.pinul 7: pinul RTS solicita autorizarea sa trimita date modemuluipinul 8: device-ul serial foloseste pinul clear to send [CTS] ca sa confirme semnalul RTS de la computer. In multe situatii RTS si CTS sunt constant on in timpul sesiunii de comunicare.pinul 9: un modem cu auto raspuns foloseste Ring Indicator [RI] sa semnalizeze receptia unui semnal de sunat al telefonului (ring signal).

Pinii DCD si RI sunt disponibili doar la conectarea cu un modem. Aceste 2 linii sunt rar folosite pentru ca cele mai multe modemuri trimit informatii despre status unui PC cand este detectat un semnal de carrier (cand se face o conexiune cu un alt modem) sau cand modemul primeste un semnal de sunat de la o liniie de telefoni.

Time Division Multiplexing [TDM]

A fost inventata de Bell Laboratories ca sa maximizeze volumul de trafic de voce peste un mediu. Pana la multiplexare, fiecare apel telefonic avea nevoie de propriul lui link fizic. Solutia respectiva nu era scalabila si era si scumpa. TDM imparte bandwidth-ul unei singure legaturi (link) in mai multe canale separate sau segmente de timp (time slots). TDM transmite 2-n canale pe un singur link, prin alocarea unui interval de timp diferit pentru fiecare canal. Canalele folosesc linkul pe rand. TDM este un concept de layer fizic, nu il intereseaza natura informatiei pe care o multiplexeaza pe canalul de iesire. TDM este independent de protocoalele de layer 2 folosite de canalele de intrare. TDM creste capacitatea de transmisiea linkului prin impartirea timpului in intervale mai mici in asa fel incat linkul sa transporte biti de la surse multiple, crescand efectiv numarul de biti transportati intr-o secunda. In cazul TDM emitatorul si receptorul stiu exact ce semnal este trimis.Multiplexorul [MUX] imparte semnalele in segmente si le plaseaza intr-un singur canal prin inserarea fiecarui segment intr-un time slot. La receptor un alt multiplexor face reconstructia, prin recrearea semnalelor in streamuri separate, pe baza timpului de venire a fiecarui bit. Tehnica numita bit interleaving tine evidenta numarului si secventei bitilor din fiecare transmisie specifica, ca la receptie sa poata fi reasamblati rapid si eficient in forma originala. *Byte interleaving face acelasi lucru, dar cu cate 8 biti (procesul are nevoie de un time slot mai mare/lung).

Exemple comune de TDM sincron sunt liniile de telefonie T1/E1 si ISDN.

TDM-ul are o ineficienta: rezerva time slots si daca nu sunt date de trimis. Pentru a compensa aceasta ineficienta a fost dezvoltat Statistical time-division multiplexing [STDM]. STDM foloseste o lungime variabila a time slot-ului, permitand canalelor sa concureze pentru orice slot liber. Foloseste un buffer de memorie care pastreaza temporar datele in timpul perioadelor de varf ale traficului. In acest mod STDM nu iroseste timp al liniilor de viteza mare, pentru canalele inactive. STDM necesita ca fiecare transmisie sa transporte informatii de indentificare (un identificator de canal).

86

Exemple de TDM: ISDN si SONETBRI ISDN are 2 B-channel de 64 kbps si 1 D-channel de 16 kbps. Are 9 time slots, repetate dupa paternul <br1-br2-br1-br2-br1-br2-br1-br2-br1-br2-d>.

La o scala mai mare, industria de telecomunicatii foloseste SONET sau standardul SDH pentru a transporta prin fibra optica date TDM. SONET-ul e folosit in America de Nord, SDH-ul e folosit in celelalte zone. Cele 2 standarde sunt strans relationate / legate. Ex: 4 streamuri de 2.5 G sunt multiplexate intr-un stream de 10 G, prin fibra optica.

DS0 = digital signal zero = unitatea originala folosita la multiplexarea liniilor de telefon, are 64 kbps.

Signal bit Rate Voice slot

DS0 64 kbps 1 DS0

DS1 1.544 Mbps 24 DS0

DS2 6.312 Mbps 96 DS0

DS3 44.736 Mbps 672 DS0 sau 28 DS1

* se refera la T1, care are 24 B-channels. E1/J1 au 32 B-channels

T-carriers:1 T4 = 6 T3 = 274 Mbps1 T3 = 7 T2 = 45 Mbps1 T2 = 2 T1C = 6.312 Mbps1 T1C = 24 T1 = 1.544 Mbps

Demarcation point:In America de Nord, este inainte de CSU/DSU (pe bucla locala - e mai departe de client).In restul lumii este intre DTE si DCE (e mai aproape de client).

DTE-DCEDTE este la client, este de obicei un router, dar poate fi si un terminal, PC, printer, fax, daca se conecteaza direct la service provider.DCE este la service provider, de obicei este un modem sau un CSU/DSU.

Standarde de cabluriLa origine, conceptul de DTE si DCE s-a bazat pe 2 tipuri de echipamente:- echipamente terminale, care primesc si trimit date- echipamente de comunicatie, care doar retransmit datele.De aceea sunt 2 tipuri de cabluri: 1 care conecteaza un DCE la un DTE si 1 care conecteaza direct 2 DTE-uri.

Interfata DTE/DCE pentru un anumit standard defineste specificatiile:86

- mecanice / fizice - numar de pini si tip de conectori- electrice - voltajele de 0 si 1- functionale - specifica functiile care sunt realizate prin alocarea unui inteles fiecarei linii de semnal a interfetei- procedurale - specifica secventa de evenimente pentru transmiterea de date.

2 DTE-uri pot comunica direct cu ajutorul unui cablu special, numit null modem. Cu null modem, la unul din capetele cablului se face cross intre Tx si Rx. >>> trebuie sa setezi clock rate.

Tipuri de incapsulari WAN1. HDLC: incapsulare defaul pe linkurile point-to-point, linkuri dedicate si conexiuni circuit switched sincrone, cand link-ul foloseste 2 device-uri Cisco. Este baza pentru PPP sincron.2. PPP: face legatura intre routere si intre host si retea, peste circuite sincrone si asincrone. Este folosit cu IP, IPX. Are mecanisme de securitate built-in PAP si CHAP. 3. Serial Line Internet Protocol [SLIP]: un protocol standard pentru protocolul TCP/IP peste linii asincrone, este inlocuit masiv de PPP. 4. X.25 / Link Access Procedure, Balanced [LAPB]: este standard ITU-T, defineste cum este mentinuta legatura intre DTE-DCE pentru accesarea remote a unui terminal si pentru comunicarea computerelor in retelele publice de date. X.25 specifica protocolul LAPB (este de layer-ul data link). X.25 este precursorul lui Fram Relay.5. Frame Relay: standard la nivel de industrie, switched, e protocol de data link care gestioneaza multiple circuite virtuale. Nu face corectarea erorilor si flow control.6. ATM: standard international pentru cell relay, trimite voce, video, date, in celule de 53 de bytes. Procesarea se face in hardware.

Leased line: HDLC, PPP, SLIPCircuit-switched: HDLC, PPP, SLIPPacket-switched: X.25, Frame Relay, ATM

HDLC - este un protocol de layer data link, sincron, bit-oriented, dezvoltat de ISO. S-a dezvoltat din SDLC. - este connected-oriented si connectionless- foloseste transmisia seriala sincrona- foloseste acknowledgement pentru flow control si error control

A derivat in Cisco HDLC [cHDLC] si are in plus multiprotocol support.

Formatul frame-ului HDLC:HDLC defineste 3 tipuri de frame-uri, fiecare cu un camp de control diferit.

Campurile frame-ului HDLC:- flag: 01111110, frame-ul incepe si se termina cu acest flag. Ca intre datele normale sa nu apara un patern ca cel al flag-ului, dupa 5 de 1 consecutivi este inserat un 0. Cand mai multe frame-uri sunt trimise consecutiv, flag-ul care termina un frame este considerat frame de inceput pentru urmatorul frame.

86

- address: contine adresa statiei secondary. Poate fi o adresa specifica, o adresa de grup sau o adresa broadcast. O adresa primary este fie sursa, fie destinatia comunicarii, ceea ce elimina nevoia de a include adresa primary. ???- control: are 3 formate diferite, in functie de tipul frame-ului

- information frame (i-frame) - transporta informatii pentru layerele superioare si ceva informatii de control. Trimite si primeste sequence number si bitul final poll [p/f] face controlul flow-ului si al erorilor. Are campurile receive sequence number >>> poll final >>> send sequece number. Receive sec number = numarul urmatorului frame care va fi primit. Send seq number = nr frame-ului care va fi trimis. Statia primary foloseste bitul p/f ca sa anunte statia secondary daca solicita un raspuns imediat. Statia secondary foloseste bitul p/f ca sa anunte daca frame-ul trimis este ultimul frame al raspunsului curent.

- supervisory frame - furnizeaza informatie de control. Poate sa solicite si sa suspende transmisia, raportul statusului si confirma primirea I-frame-urilor. Nu are camp de informatie.

Unnumbered frame - U frames sunt tot in scop de control si nu sunt secventiate. Un u-frame poate fi folosit pentru a initializa secondaries. - protocol - folosit doar in cHDLC, specifica tipul protocolul incapsulat in frame (ex: 0x0800 pentru IP).- data - contine sau path information unit sau exchange identification information. - Frame check sequence [FCS] - precede campul de flag. Foloseste un CRC, calculat de receptor, identifica daca sunt erori.

Configurarea HDLC:Este default pe echipamentele Cisco pe liniile sincrone seriale. Daca nu ai ambele echipamente Cisco, foloseste PPP sincron.

R1(config-if)#encapslation hdlc >>> activeaza incapsularea hdlc

Troubleshooting pe interfetele serialeR#show interfaces serial >>> arata tipul de incapsulare, starile linkului, etc.

Stari posibile:- serial x is down, line protocol is down- serial x is up, line protocol is down- serial x is up, line protocol is up (looped)- serial x is up, line protocol is down (disabled)- serial x is admin down, line protocol is down

R#show controllers >>> arata DTE/DCE si tipul de conector (ex: V.35)

PPPIncapsularea PPP a fost gandita sa fie compatibila cu cele mai utilizate tipuri de hardware. Este incapsulare de layer 2. Poate fi folosit peste: cabluri seriale, linii de telefon, linii trunk, retea de telefonie mobila (cellular phone), “linii” radio specializate, fibra optica.

86

Avantaje:- PPP nu este proprietar.

fata de HDLC are in plus:- monitorizeaza calitatea linkului. Daca detecteaza prea multe erori, pune linkul in down- suporta autentificarea PAP si CHAP.

PPP contine 3 componente majore:- protocolul HDLC pentru incapsularea datagramelor peste linkurile point-to-point- Extensible Link Control Protocol [LCP] pentru a stabili, configura si testa conexiunea data link. - familia de Network Control Protocols pentru stabilirea si configurarea diferitelor protocoale de layer Network. PPP permite simultan folosirea mai multor protocoale de layer 3 (multiple layer network protocols). Exemple: IPCP, AppleTalkCP, IPXCP, Cisco System CP, SNACP, Compression CP. CP = control protocol

Arhitectura PPPFata de modelul OSI, PPP are doar layerul fizic la fel. Layerele data link (s.n. link control protocol) si network (s.n. network control protocol) difera. La layerul fizic poti configura PPP pe interfete:- seriale sincrone- seriale asincrone- ISDN- HSSI

PPP opereaza peste orice interfata DTE/DCE, singura conditie care trebuie indeplinita este sa existe un circuit duplex, switched sau dedicat, sincron sau asincron, care sa fie transparent frame-urilor PPP la layerul link. PPP face cea mai multa munca la layerele data link si network.LCP la data link layer seteaza conexiunea PPP si parametrii acesteia.NPC la network layer gestioneaza configuratiile protocoalelor de nivele superioare. --> dupa care conexiunea este terminata de LPC.

Layerul link control protocol:LCP este partea care munceste cu adevarat in PPP. LCP sta deasupra layerului fizic si are rol in stabilirea, configurarea si testarea conexiunii data-link. LCP stabileste linkul point-to-point. De asemenea negociaza si seteaza optiunile de control pe data link-ul WAN, care sunt gestionate de NCP.

LCP-ul furnizeaza configurarea automata a interfetelor la ambele capete, incluzand:- gestionarea limitelor variabile ale dimensiunii pachetelor- detectarea erorilor comune de configurare- inchiderea (terminating) linkului- determinarea cand un link functioneaza corect si cand este cazut

De asemenea PPP foloseste LCP pentru a agrea automat formatul de incapsulare (autentificare, compresie, detectarea erorilor) imediat ce linkul este stabilit.

86

Layerul network control protocol:Problemele multor familii de protocoale de retea se inrautatesc la folosirea linkurilor point-to-point. Ca sa rezolve aceste probleme PPP foloseste NCP.

PPP permite multiple protocoale de layer network sa opereze pe acelasi link de comunicare. Pentru fiecare protocol de layer network folosit, PPP foloseste un NCP distinct / separat. Ex: IP foloseste IPCP, IPX foloseste IPXCP, etc.

NCP include campuri functionale ce contin coduri standardizate pentru a indica protocolul de layer network incapsulat de PPP. Fiecare NCP gestioneaza nevoile specifice ale unui protocol de layer network. Diferite componente ale NCP incapsuleaza si negociaza optiuni pentru multiple protocoale de layer network.

Structura frame-ului PPP:Flag >>> Address >>> Control >>> Protocol >>> Data >>> FCSAdresa este de broadcast.Campul Control are 1 byte, are valoarea 3 (in binar 00000011) - cere datele generate de user in frame-uri nesecventiate.Campul Protocol identifica protocolul incapsulat in frame-ul data link.Campul Data poate avea intre 0 si 1500 bytes.FCS face verificarea erorilor.

Modul de stabilire a unei sesiuni PPP:Se face in 3 pasi:1. Stabilirea linkului si negocierea configuratiei: Inainte ca PPP sa poata schimba orice tip de datagrame, LPC trebuie intai sa deschida o conexiune si sa negocieze optiunile de configurare. Aceasta faza este finalizata cand routerul receptor trimite un frame de configuration-acknowledgement catre routerul care a initiat conexiunea. 2. Determinarea calitatii linkului (oprional): LPC testeaza linkul pentru a determina nivelul de calitate a acestuia. Daca nu este un nivel suficient, nu ridica protocolul de layer network. 3. Negocierea configuratiei protocolului de layer network: NCP configureaza individual protocoalele layerului network; le poate trece oricand in up sau down. Daca LCP inchide linkul, informeaza si NCP ca si acesta sa poata lua masurile potrivite.

Linkul ramane configurat pentru comunicare pana cand LCP sau NCP trimit frame-uri explicite de inchidere sau pana cand are loc un eveniment extern. LCP poate inchide linkul oricand (prin request termination sau motiv / eveniment fizic).

Modul de operare al LCP:Operarea LCP implica stabilirea, mentinerea si terminarea linkului. Pentru a realiza acestea LCP foloseste 3 clase de frame-uri LCP:a) pentru stabilirea si configurarea linkului se folosesc frame-uri: Configure-Request, Configure-Ack, Configure-Nak, Configure-Reject.b) pentru mentinere (gestionare si debug) se folosesc frame-uri: Code-Reject, Protocol-Reject, Echo-Request, Echo-Reply, Discard-Request)

86

c) terminare: Terminate-Request, Terminate-Ack

a) Stabilirea linkului incepe prin trimiterea unui Configure-Request (cu wish list pt configuratie). Raspunsuri posibile: - Configure Ack (si daca si autentificarea este ok se stabileste linkul)- Configure-Nak (optiunile sunt recunoscute, dar nu sunt acceptate)- Configure-Reject (nu sunt recunoscute optiunile)Pentru Configure-Nak si -Reject procesul de negociere se reia.

b) In faza de mentinere a linkului:- Code-Reject si Protocol- sunt cauzate de primirea unui frame invalid (cod invalid sau bad protocol identifier) - Echo-Request, -Reply, Discard- , dunt folosite pentru testarea linkului.

c) daca NCP trimite solicitare de terminare a linkului, primeste Ack, linkul trebuie inchis / terminat si de LCP. Daca LCP termina linkul, sesiunea NCP este automat terminata.

Terminarea linkului poate fi cauzata de: loss of the carrier / de carrier, eroare de autentificare, calitatea linkului pica, expira un cronometru de idle / inactivitate, inchidere administrativa a linkului.

Pachetele LCP:Fiecare pachet LCP este un mesaj LCP, care contine un camp cod (specifica tipul de pachet) si un camp identificator (pentru match-ul request-reply), camp length si camp data.

Optiuni de configurare PPP:- autentificare PAP sau CHAP- compresie prin Stackr sau Predictor- multilink (combina mai multe canale ca sa creasca bandwidth-ul WAN)

Cand se initiaza stabilirea linkului se negociaza optiunile. Daca o optiune nu este inclusa in frame-ul de Config-Request, i se atribuie valoarea default. Faza de initiere se termina cu primirea frame-ului Configure-Ack.

Procesul NCP:Dupa ce linkul a fost initializat, LCP ii cedeaza controlul lui NCP <=> LCP face autentificarea si configurarea de baza, dupa care invoca NCP, ca sa faca configurarea specifica protocolului de layer retea. Cand NCP a configurat cu succes protocolul de layer network, protocolul de retea este in starea open.

Exemplu pentru IPCP:Dupa ce LCP a stabilit linkul, routerele schimba mesaje IPCP ca sa negocieze optiunile specifice protocolului. IPCP negociaza 2 optiuni:- compression: negociaza algoritmul de compresie a headerelor TCP si IP, ca sa economiseasca bandwidth. Compresia Van Jacobsen reduce headerele TCP/IP la 3 bytes.

86

- IP-Address: device-ul initiator specifica o adresa IP ce va fi folosita peste linkul PPP, sau solicita o adresa IP de la respondent.

Dupa terminarea procesului NCP linkul intra in starea open si LCP preia controlul din nou. Traficul pe link poate fi orice combinatie de LCP, NCP si pachete de L3.

2.3.1.1

Optiuni de configurare LCP:- autentificare: Password Authentication Protocol si Challenge Handshake Authentication Protocol.- compresie: creste throughput-ul efectiv al conexiunilor PPP prin reducerea volumului de date care trebuie sa traverseze linkul. 2 protocoale disponibile pe routerele Cisco sunt Stacker si Predictor. - error detection: identifica conditiile de eroare. Este folosit magic number- multilink: e disponibil de la IOS-ul 11.1, permite load balancing daca am mai multe linkuri seriale. Are ca acronime: MP, MPPP, MLP sau multilink.- PPP callback: ca sa intareasca securitatea. Routerul actioneaza ca un client / server de callback. Clientul initiaza telefonul, serverul il identifica si termina telefonul, dupa care serverul suna inapoi. Comanda este ppp callback [accept | request]

Comenzi pentru PPP:R2(config-if)#encapsulation ppp > activeaza incapsularea PPPInainte de activarea PPP ar trebui sa configurezi un protocol de rutare. De ce? Vezi ca protocolul default pe echipamentele Cisco este HDLC. R2(config-if)#compression [ predictor | stacker] >>> va compresa traficul. Va afecta performanta sistemului. Daca traficul consista din fisiere compresate, nu folosi aceasta optiune - compresia la compresie de obicei nu are sens pt ca rezulta un volum mai mare de date. R2(config-if)#ppp quality procent > asigura calitatea linkului (in ambele sensuri). Daca aceasta scade sub procentul precizat, linkul este pus in down. Exista un lag ca linkul sa nu flapeze. R2(config-if)#ppp multilink>>> face load balancing pe linkuri seriale catre aceeasi destinatie. Atentie: poate masura traficul de in sau out, dar nu in ambele directii simultan.

Verificarea setarilor de incapsulare PPP serial:R2#show interfaces serial x >>> arata tipul de incapsulare. Pt PPP mai arata si starea LCP si NCP.

R2#debug ppp {packet | negotiation | error | authentication | compression | cbcp } packet: arata pachetele ppp (low level) trimise si primitenegotiation: arata pachetele de negociereerror: arata o statistica a erorilorauthentication: arata mesajele protocoalelor de autentificarecompresie: arata informatii specificecbcp: arata statistici si erori ale protocolului asociate cu negocierea conexiunii PPP care foloseste MSCB.

86

lcp_rlqr >> LCP request link quality reportlcp_slqr >> LCP send link quality report

Protocoale de autentificare PPP

PAP [Password authentication protocol]:e un proces 2 way, in care clientul trimite in text clar user name si parola, iar serverul o accepta sau refuza, dupa caz. Are loc dupa ce LCP a stabilit linkul si inainte sa inceapa configurarea protocoalelor de layer network. R(config-if)#ppp authentication pap

1. Dupa ce s-a incheiat faza de stabilire a linkului, clinetul trimite repetat informatiile de autentificare, pana cand primeste accept sau este terminata (inchisa) conexiunea. 2. Serverul verifica daca informatiile de autentificare sunt corecte si trimite raspunsul accept / reject.

PAP nu este un protocol de autentificare puternic, pentru ca trimite informatiile in text clar, fara sa le cripteze. In plus, clientul este cel care decide cand si cu ce frecventa incearca sa se autentifice.

Cu toate astea, sunt situatii in care autentificarea PAP este justificata:- cand sunt instalate aplicatii client care nu suporta CHAP- incompatibilitati intre implementari de CHAP ale diferitilor vendori- situatii in care trebuie furnizata parola in text clar, pentru a simula un login pe un host remote.

CHAP [challenge handshake authentication protocol]:In cazul lui PAP, dupa ce s-a realizat autentificarea, nu se mai face nicio verificare => reteaua este vulnerabila la atacuri. Fata de PPP, care se autentifica o singura data, CHAP face cutentificari (challenge-uri) periodice, ca sa verifice ca clientul are o parola valida.

CHAP este 3 way proces. Dupa ce s-a stabilit linkul:1. routerul server solicita autentificarea clientului. Ii trimite un mesaj cu id-ul solicitarii, un numar random si user name-ul sau (server id).2. clientul calculeaza un hash pe baza user name-ului serverului, numarului din mesaj, id-ului mesajului si parolei pe care o are el clientul. Trimite hash-ul serverului.3. serverul calculeaza si el hash-ul si il compara cu cel primit de la client. Daca valorile coincid, accepta autentificarea. Daca nu, o refuza.

Daca autentificarea esueaza, se genereaza un mesaj care contine: -04: codul pentru fail- id = cel al mesajului- un text human readable de genul “Authentication failure”

CHAP ofera protectie impotriva playback attack prin limitarea expunerii. Hash-ul comparat este variabil; routerul local sau un server controleaza autentificarea, nu clientul.

86

Comenzi de autentificare:

Rconfig-if)#ppp authentication {chap | chap pap | pap chap | pap [if-needed] [list-name | default] [callin]}chap | chap pap | pap chap | pap >>> arata tipul si ordinea autentificariiif-needed] >>> doar pe interfetele asincrone, se foloseste cu TACACS sau XTACACS. Nu se foloseste in combinatie cu pap / chap, pt ca deja userul s-a autentificat.list name >>> se fol cu AAA sau TACACS+, defineste numele listei care va fi folosit ca default. Lista este o metoda de autentificare TACACS+. Listele sunt create cu comanda aaa authentication ppp.default>>> la fel ca list namecallin >>> specifica autentificarea doar pe callin care vin (sunt pe sensul in)

pap si chap verifica username si parola intr-o baza de date locala sau intr-o baza de date remote TACACS/TACACS+AAA/TACACS sunt servere dedicate pentru autentificarea userilor.

2.4.5.2PAP:R1(config)#username R3 password parola

#int s0/0/0-if)#ip address 128.0.1.1 255.255.255.0-if)#encapsulation ppp-if)#ppp authentication pap-if)#ppp pap sent-username R1 password parola

R3(config)#username R1 password parola#int s0/0/0-if)#ip address 128.0.1.2 255.255.255.0-if)#encapsulation ppp-if)#ppp authentication pap-if)#ppp pap sent-username R1 password parola ??? nu R3 ???

CHAP e similar, doar ca se modifica autentificarea: ppp authentication chap

Troubleshooting pe configurarile PPP cu autentificare:Dupa ce ai facut setarile de autentifcare, verifica-le, nu presupune ca merg. Ca sa le verifici foloseste show interfaces serial si debug ppp authentication .

codurile generate de debug:- 1 = challenge- 2 = response- 3 = succes- 4 = fail

86

de facut laboratoarele, inclusiv 2.6.1.3

************************************cap 3 Frame Relay

Frame Relay este un protocol WAN foarte performant, ce opereaza la layerele 1 si 2 din stiva OSI. Eric Scace de la Sprint International a dezvoltat Frame Relay ca o versiune mai simpla a X.25, ca sa il foloseasca peste interfetele ISDN (Integrated Services Digital Network). Astazi este folosit peste o varietate de alte interfete de retea.

Network providerii implementeaza Frame Relay ca tehnica de incapsulare de date si voce pentru LAN peste WAN. Fiecare end-user obtine o linie privata / leased line la un nod Frame Relay. Reteaua Frame Relay gestioneaza transmisia peste o cale care se schimba frecvent si este transparenta tuturor end-userilor.

Frame Relay-ul a devenit un protocol WAN foarte folosit pentru ca este mult mai ieftin decat liniile dedicate. In plus configurarea echipamentelor userilor este foarte simpla. Conexiunile Frame Relay sunt create prin configurarea routerelor (sau a altor device-uri cu rol de) CPE sa comunice cu un switch Frame Relay al service providerului.

Frame Relay este un protocol WAN foarte performant, ce opereaza la layerele 1 si 2 din stiva OSI.Eric Scace de la Sprint International a dezvoltat Frame Relay ca o versiune mai simpla a X.25, ca sa il foloseasca peste interfetele ISDN (Integrated Services Digital Network). Astazi este folosit peste o varietate de alte interfete de retea.

Network providerii implementeaza Frame Relay ca tehnica de incapsulare de date si voce pentru LAN peste WAN. Fiecare end-user obtine o linie privata / leased line la un nod Frame Relay. Reteaua Frame Relay gestioneaza transmisia peste o cale care se schimba frecvent si este transparenta tuturor end-userilor.

Frame Relay-ul a devenit un protocol WAN foarte folosit pentru ca este mult mai ieftin decat liniile dedicate. In plus configurarea echipamentelor userilor este foarte simpla. Conexiunile Frame Relay sunt create prin configurarea routerelor (sau a altor device-uri cu rol de) CPE sa comunice cu un switch Frame Relay al service providerului.

Tehnologia Frame Relay a devenit cea mai raspandita tehnologie WAN din lume datorita pretului si flexibilitatii sale.Frame Relay reduce costul retelei pentru ca foloseste mai putin echipament (leased-lines necesitau cate 1 linie pentru fiecare end-point), complexitatea este mai redusa si este mai usor de implementat; ofera mai mult bandwidth, reliability si resiliency fata de leased-lines; are o arhitectura mai simpla a retelei si un cost of ownership mai mic.

O retea Frame Relay foloseste circuite virtuale [VC] permanente sau switched.

86

In cazul liniilor dedicate clientul plateste toata linia: local loop si link-ul din reteaua providerului. Daca providerul ii da doar canale din linie, incrementarea se face din 64 in 64 kbps. Doar traficul clientului este pe link.In cazul Frame Relay clientul plateste doar pentru local loop si bandwidth-ul folosit, indiferent la ce distanta se afla celalalt capat (end-point). Incrementarea poate fi si din 4 in 4 kbps. Linkul este share-uit cu alti clienti.Costul de implementare al Frame Relay este mai mare ca al liniilor dedicate, dar costul de operare este mai mic.

Cand construiesti un WAN ai nevoie de 3 elemente:1. DTE ca sa accesezi CO al providerului, pentru fiecare site / end-point2. DCE e al providerului3. tot ce este intre DCE al providerului (ex: frame relay cloud)

Frame Relay este urmasul lui X.25. Fata de acesta are mai putine capabilitati; de ex. nu ofera error correction.

Frame Relay gestioneaza eficient volumul si viteza prin combinarea functionalitatilor necesare de la layerele data link si network intr-un singur protocol mai simplu.Ca protocol de layer data link, FR furnizeaza acces la retea, delimiteaza si livreaza frame-urile in ordinea corecta, recunoaste erorile printr-un CRC standard.Ca protocol de layer network, FR ofera multiple conexiuni logice peste un singur circuit fizic si permite retelei sa ruteze date peste aceste conexiuni catre destinatiile dorite.

FR opereaza intre device-ul end-user (router / bridge) si retea. Reteaua poate folosi orice metoda de transmisie care este compatibila cu viteza si eficienta ceruta de aplicatiile FR. Unele retele folosesc FR, altele digital circuit switching sau ATM.

Conexiunea dintre un device DTE si un device DCE consta din componente de layer fizic si data link:Layerul fizic: defineste specificatiile mecanice, electrice, functionale si procedurale, pentru conexiunea dintre device-uri. (Ex: RS-232)Layerul data link: defineste protocolul care stabileste conexiunea dintre DTE (router) si DCE (switch).Cand carrierii folosesc FR ca sa interconecteze LAN-uri, routerele de LAN sunt DTE. O conexiune seriala, de obicei un T1/E1leased line, conecteaza routerul la switchul Frame Relay din cel mai apropiat POP (point of presence) al providerului.*echipamente de calcul care nu sunt intr-un LAN pot trimite date intr-o retea Frame Relay, printr-un Frame Relay Access Device [FRAD], care are rol de DTE, si care este un dedicated appliance sau un router configurat sa suporte Frame Relay. Se afla in grija clientului (customer premise) si se conecteaza intr-un port de switch al retelei providerului.

Circuitele virtuale [VC]

Conectarea a 2 DTE prin intermediul unei retele Frame Relay se numeste circuit virtual. Se numeste circuit virtual pentru ca nu este o conexiune electrica directa intre cele 2 capete. Cu

86

VC mai multi useri share-uiesc bandwidth-ul si oricare 2 noduri pot sa comunice intre ele, fara sa foloseasca mai multe linii fizice dedicate.

SVC se creaza dinamic prin trimiterea de mesaje de semnalizare in retea (call setup, data transfer, idle, call termination).PVC sunt preconfigurate de provider, iar dupa ce sunt create opereaza doar in modurile idle si data transfer. *unele publicatii se refera la PVC ca la private VC (in loc de permanent VC).

VC-urile sunt identificate prin DLCI-uri; valorile pentru DLCI sunt de obicei alocate de service provider, dar au valoare locala, ceea ce inseamna ca aceste valori nu sunt unice in WAN-ul Frame Relay. DLCI-ul nu are nicio semnificatie de la un link la altul (adica poate fi transformata valoarea... dlci = 10 pt segmentul AB, si sa devina 20 pentru segmentul BC). DLCI-urile sunt de obicei cuprinse in intervalul 16-1007 (0-15 si 1008-1023 sunt rezervate). DLCI este inclus in campul de adresa al fiecarui frame transmis.

Multiple VCsFrame Relay este statistic multiplexat, adica transmite doar cate un frame o data, dar mai multe conexiuni logice pot coexista pe acelasi link fizic. Frame Relay Access Device [FRAD] sau routerul pot avea mai multe VC care se conecteaza la diferite end point-uri. VC-urile pot fi distinse, chiar daca sunt pe acelasi link, prin faptul ca au DLCI-uri diferite.

Aceasta caracteristica reduce costul cu echipamentele si cu complexitatea retelei ==> un inlocuitor pentru mesh, convenabil din perspectiva costului.

Incapsularea Frame RelayFraMe Relay ia pachetele de date de la protocolul de layer network si le incapsuleaza ca portiunea de date din frame-ul frame relay. II adauga un camp de adresa (care contine DLCI-ul) si un check sum, apoi pune flag-urile de inceput si sfarsit de frame. Mai detaliat, headerul si trailerul frame relay sunt definite in specificatiile LAPF (link access procedure for frame relay) Bearer Services:campul de adresa contine:DLCI = numar pe 10 biti (maxim 1024 in zecimal)EA (extended address) = daca e setat pe 1, DLCI foloseste doar 1 byte, altfel va folosi 2 bytes =>> numar DLCI mai mare. Al 8-lea bit al fiecarui byte din campul de adresa este EA.C/R = in prezent nu este definit.Controlul congestiei = contine 3 biti care controleaza mecanismul de notificare a congestiei in Frame Relay.

Daca frame-ul este cu erori frame relay il arunca (discard) dar nu notifica sursa ca a aruncat frame-ul, lasa asta in grija layerelor superioare.

Topologiile Frame Relaypot fi star, full mesh si partial mesh.star: hub and spoke: costul frame relay nu este legat de distanta =>> hub-ul nu trebuie sa fie localizat geografic in centrul retelei.full mesh: realizat prin crearea VC pentru a conecta toate end pointurile intre ele.

86

partial mesh: limita teoretica este de 1000 VC pe un link, real este mai mica.

Maparea adreselor Frame RelayCa sa poata trimite adrese peste Frame Relay, un router trebuie sa asocieze DLCI-ul (pe care il cunoaste) cu IP-ul / adresa de layer 3 (pe care nu o cunoaste). Ca sa afle adresa de layer 3, routerul foloseste Inverse Address Resolution Protocol [Inverse ARP].

Inverse ARP e folosit cu precadere in retelele Frame Relay si ATM si face corespondenta intre adresele de layer 2 (cunoscute) in adrese de layer 3 (necunoscute).

Maparea dinamicaSe bazeaza pe inverse ARP. Routerul construieste si mentine o tabela de mapare (corespondente), care contine toate cererile rezolvate de Inverse ARP. Pe routerele cisco protocolul Inverse ARP este activat by default.

Maparea staticaPoti alege sa faci mapare statica si dai de mana corespondentele dlci - adresa de layer 3. Are ca efect dezactivarea inverse ARP. Faci asta cand routerul de la celalalt capat nu suporta Inverse ARP. Alta varianta este cand ai o topologie hub end spoke si vrei ca spoke-urile sa comunice direct intre ele. Maparea dinamica ar face ca spoke-urile sa comunice cu hub-ul, nu direct intre ele.

Comenzi pentru configurarea maparii statice:

R1(config)#interface s0/0/0R1(config-if)#ip address 10.1.1.1 255.255.255.0R1(config-if)#encapsulation frame-relayR1(config-if)#no frame-relay inverse-arpR1(config-if)#frame-relay map ip 10.1.1.2 102 broadcast cisco varianta generica este mai josR1(config-if)#frame-relay map protocol protocol-address dlci [broadcast] [cisco / ietf]R1(config-if)#no shut

LMI = Local Management InterfaceIn esenta, LMI este un mecanism de keepalive care ofera informatii despre conexiunea dintre routerul DTE si switchul frame relay DCE. O data la 10 secunde (default) routerul solicita un raspuns la un mesaj care contine un numar de secventa sau solicita informatii despre starea canalului. Daca nu primeste raspuns, considera ca linkul este cazut. La 60 sec primeste ca raspuns un FULL STATUS, care include informatii despre toate DLCI-urile alocate acelui link.

Nu trebuie confundat LMI cu incapsularea. Diferente:- LMI = mesaj intre router si switch; switch-ul si routerul trebuie sa foloseasca acelasi tip de LMI- Incapsularea = headerele folosite ca 2 DTE sa comunice intre ele; switchul nu este interesat de tipul de incapsulare. DTE-urile sunt interesate / afectate de tipul de incapsulare.

86

Extensiile LMISunt folositoare in mediul dintre retele (internetwork environment).- VC status messages: furnizeaza informatii despre integritatea PVC prin comunicarea si sincronizarea dintre device-uri, raportand periodic existenta noilor PVC si stergandu-le pe cele care deja exista (adica suprascrie PVC existente cu PVC care ar trebui sa fie pe acel link ???). Aceste mesaje previn ca datele sa fie trimise in black holes (PVC care nu mai exista).-Multicast: permite unui emitator sa trimita un frame catre mai multi receptori. Multicastul suporta protocoalele de rutare si procedurilor de address resolution.- Global addressing / adresare globala: ofera identificatorilor de conexiune o semnificatie globala in loc de una locala. a.i orice interfata din reteaua frame relay va putea fi identificata. =>> reteaua Frame Relay se va comporta ca un LAN, iar ARP se va comporta si el ca in LAN. - Un control simplu al fluxului (flow): furnizeaza un mecanism XON/XOFF pentru controlul fluxului, care se aplica intregii interfete Frame Relay. Se adreseaza acelor device-uri ale caror layere superioare nu pot gestiona bitii de notificare a congestiei, dar au nevoie de un nivel de control al fluxului.

Identificatorii LMISunt mai multe tipuri de LMI, incompatibile unul cu celalalt. Ca sa poata comunica, LMI routerului trebuie sa fie de acelasi tip cu cel folosit de echipamentul providerului. Routerele Cisco suporta 3 tipuri de LMI:- Cisco, extensia LMI originala.- Ansi, corespunzator standardului Ansi T1.617 Anexa D- q933a, corespunzator standardului ITU Q933 Anexa A.

Incepand cu IOS-ul 11.2 a aparut feature-ul de LMI autosense care detecteaza tipul de LMI folosit de switchul frame relay direct conectat. Pe baza mesajului de status LMI primit de la switch, routerul isi configureaza automat interfata ca sa foloseasca acelasi tip de LMI cu cel suportat de switch-ul Frame Relay. Comanda manuala este frame-relay lmi-type [ansi | cisco | q933a], dar atentie ca va dezactiva autosense. Cand configurezi manual LMI-ul, trebuie sa specifici si intervalul de keepalive.

VC identifiers >>>> VC types0 >>> LMI (Ansi, ITU)1-15 >>> rezervati pentru o utilizare viitoare992-1007 >>> CLLM1008-1022 >>> rezervati pentru o utilizare viitoare (Ansi, ITU)1019-1020 >>> multicasting (cisco)1023 >>> LMI (Cisco)

Identificatorii VC nu sunt DLCI-urile???

Mesajele de status ale LMI cu mesajele Inverse ARP permit unui router sa asocieze adresele de layer 3 cu cele de layer 2.Cand un router se conecteaza la o retea frame relay, interaba care este statusul LMI al retelei. Reteaua raspunde cu un mesaj de status LMI care contine detaliile pentru fiecare VC asociat linkului.

86

Periodic, routerul repeta mesajul despre statusul LMI, iar reteaua ii raspunde doar cu actualizari. O data la un numar de mesaje, reteaua trimite un mesaj full status.

Daca routerul are nevoie sa mapeze VC-urile la adresele de Layer 3, va trimite un mesaj Inverse ARP catre fiecare VC. Mesajul inverse arp include adresa de layer 3 a routerului, in asa fel incat routerul DTE destinatie sa poata face si el maparea. Se trimit mesaje inverse arp pentru fiecare protocol de layer 3 suportat pe link.

Configurarea de baza a Frame Relay:pasi obligatorii:1. activezi incapsularea frame relay pe interfata2. configurezi modul de mapare al adreselor - static sau dinamic.Pasi optionali:3. configurezi LMI4. configurezi SCV-urile frame relay5. configurezi forma traficului frame relay6. customizezi frame relay pentru reteaua ta7. monitorizezi si intretii conexiunile frame relayIn plus setezi si bandwidth-ul, care este folosit de EIGRP si OSPF in calcularea metricii.

Incapsularea frame-relay cisco are un header de 4 bytes, din care 2 bytes sunt pentru identificarea DLCI si 2 bytes pentru a identifica tipul de pachet.

Configurarea unei mapari statice frame relayMaparea dinamica se face prin inverse ARP, care este activat by default, deci nu trebuie sa faci nimic.Pentru maparea statica trebuie sa configurezi manual un router.

Comanda care trebuie data este:R1(config-if)#frame-relay map ip 10.1.1.2 102 broadcast cisco varianta generica este mai josR1(config-if)#frame-relay map protocol protocol-address dlci [broadcast] [cisco / ietf]

Parametrii:1. [broadcast] Frame Relay, ATM si X.25 sunt retele non-broadcast multiple access [NBMA]. Acest tip de retele nu suporta multicast sau broadcast, ci doar unicast. Daca vrei sa comunici broadcast, trebuie sa trimiti manual frame-ul catre fiecare destinatie. Unele protocoale de rutare (RIP, EIGRP, OSPF) necesita configurari aditionale ca sa fie suportate de retelele NBMA. Prin parametrul broadcast se vor forwarda update-urile de rutare, pentru ca acesta va permite comunicarea broadcast / multicast peste PVC. 2. [protocol]Defineste protocolul suportat, bridging sau logical link control: appletalk, decnet, dlsw, ip, ipx, llc2, rsrb, vines si xns.3. [protocol-address]

86

defineste adresa de layer 3 a interfetei routerului destinatie4. [DLCI]defineste DLCI-ul local folosit pentru conectarea la adresa protocolului remote

Split horizon:Din perspectiva protocoalelor de rutare apare o problema, daca sunt mai multe VC pe aceeasi interfata: nu se trimit update-uri de rutare pe aceeasi interfata de pe care au fost primite / invatate. Ca sa se rezolve aceasta problema este indicata folosirea subinterfetelor (echivaleaza cu o topologie full mesh), varianta in care se dezactiveaza split horizon putand genera bucle de rutare.

Plata pentru Frame RelayCand isi creaza reteaua Frame Relay, service providerul foloseste switchuri (echipamente) rapide si mari (si scumpe), dar clientul (respectiv echipamentele acestuia) nu vad decat interfata switchului service providerului, nu si ce este in spatele acesteia.

Concepte:- Access rate sau port speed: viteza liniei / capacitatea local loop. - Committed information rate [CIR] = capacitatea garantata de service provider prin bucla locala.

Un avantaj al Frame Relay este ca daca exista capacitate nefolosita, aceasta se imparte la toti clientii, de obicei fara niciun cost =>> burst-ul poate fi preluat (si transmis).

Burst = device-urile care au temporar nevoie de mai mult bandwidth o imprumuta de la alte device-uri care nu folosesc atunci bandwidth, fara sa implice un cost suplimentar.

Committed Burst Information Rate [CBIR] = rata negociata peste CIR pe care clientul o poate folosi pentru a transmite burst-ul. Nu poate depasi viteza portului de pe acel link (banuiesc ca e vorba de viteza maxima reala a linkului). Durata de transmisie a burst-ului trebiue sa fie scurta, mai putin de 3-4 secunde.Frame-urile trimise la viteza mai mare ca CIR sunt marcate ca discard eligible [DE] <=> pot fi aruncate daca reteaua este congestionata sau daca nu este suficient bw (capacitate) in retea.

BE este termenul care descrie bandwidth-ul disponibil intre CBIR si bw real al linkului. NU este negociabil si, cu toate ca frame-urile pot fi transmise la acest nivel, este foarte posibil sa fie aruncate (dropped).

Flow control in Frame RelayFrame Relay reduce overhead-ul prin implementarea unor mecanisme simple de notificare a congestiei, per VC. Aceste mecanisme sunt: Forward Explicit Congestion Notification [FECN] si Backward Explicit Congestion Notification [BECN].

BECN este o notificare directa.FECN este o notificare indirecta.

In perioade de congestie switch-ul frame relay al providerului aplica urmatoarele reguli logice:

86

1. daca frame-urile care vin nu depasesc CBIR, vor trece mai departe2. daca frame-urile care vin depasesc CBIR, vor fi marcate ca DE3. daca frame-urile care vin depasesc CBIR + BE, vor fi aruncate.

Cand apare o incarcare / congestie, switch-ul trimite FECN echipamentelor din downstream si BECN echipamentelor din upstream <=> pune F frame-urilor pe care le primeste pe linkul cu congestie si B frame-urilor pe care le trimite pe linkul cu congestie. DTE-urile care primes frame-uri cu bitii ECN setati, ar trebui sa isi reduca fluxul de trafic pana cand se descongestioneaza linkul. *Daca congestia apare pe un link intern, DTE-urile pot sa primeasca notificari chiar daca nu sunt ele cauza congestiei.

3.4.1.1

Configurarea subinterfetelor Frame RelaySubinterfetele adreseaza limitarea retelelor Frame Relay prin oferirea unui mod de a subdiviza retele partially meshed intr-un numar de subretele mai mici, full mesh sau point-to-point. Fiecare subretea are propriul network number si din perspectiva protocolului apare ca s-ar fi ajuns la aceasta printr-o interfata diferita. Subinterfetele point-to-oint pot fi nenumerotate (unnumbered) cand sunt folosite cu IP, reducand efortul de adresare care ar fi rezultat.

R1(config-if)#interface serial 0/0/0.103 point-to-point >>> creaza o subinterfata. conventional i se da numarul dlci-ului, ca sa se poata face troubleshooting mai usor. Obligatoriu trebuie folosit multipoint sau point-to-point, pentru ca nu este o valoare default a optiunii. Daca subinterfata este configurata ca point-to-point, DLCI-ul local pentru subinterfata trebuie de asemenea configurat, ca sa se poata distinge de cel al interfetei fizice. DLCI-ul este de asemenea necesar pentru subinterfetele multipoint in cazul in care inverse ARP-ul este activat. DLCI-ul nu este necesar in cazul subinterfetelor multipoint configurate cu mapare statica.*Nota: din nefericire modificarea configuratiei unei subinterfete Frame Relay existente poate sa nu genereze rezultatele asteptate (si tu sa fi dat comenzile necesare). In aceste cazuri este posibil sa trebuiasca sa salvezi configurarea si sa reincarci routerul. ** Singurul mod de a lega un LMI de DLCI-ul unei subinterfete este prin comanda frame-relay interface-dlci, pentru ca LMI nu stie despre subinterfete. Aceasta comanda se foloseste numai pe subinterfete.

Pasi pentru configurarea unei subinterfete:1. stergi configurarea anterioara a interfetei fizice2. encapsulation frame-relay >>> activeaza incapsularea frame-relay3. creezi subinterfete pentru fiecare PVC, pt un troubleshooting mai usor, dai numarul PVC subinterfetei. interface serial 0/0/0.103 point-to-point4. configurezi o adresa ip si setezi bandwidth-ul5. configurezi DLCI-ul pe subinterfata (DLCI-ul e dat de service provider) frame-relay interface-dlci

Verificarea configurarii Frame Relay1. Comanda show interfaces

86

2. show frame-relay lmi >>> daca afiseaza orice valoare diferita de 0 la elementele cu “invalid”. In felul acesta incepi sa izolezi problemele.3. verifici statusul PVC-urilor:show frame-relay pvc [interface interfata] [dlci] Statusul poate fi active, inactive sau deleted. clear counters >>> va reseta statisticile, astepti cateva minute si verifici daca au aparut noi erori. Te ajuta sa ii spui providerului de unde apar erorile. 4. verifici functionarea inverse ARPshow frame-relay mapca sa stergi maparea inverse ARP dai comanda:clear frame-relay inarp

Troubleshooting:debug frame-relay lmi si urmaresti mesajele afisate.- out este un LMI status message trimis de router- in este un mesaj primit de la switchul Frame Relay- type 0 = LMI full status message- type 1= LMI exchange- “dlci 100, status 0x2” = dlci 100 este active

Statusurile:- active = indica un circuit end-to-end (DTE-DTE) successful- inactive = arata ca doar legatura router - switch este ok, nu detecteaza DTE-ul de la capatul celalalt. Poate fi cauzata de configurari incorecte sau reziduale de pe switch.- Deleted = DTE este configurat pentru un DLCI pe care switch-ul nu il recunoaste ca valid pentru acea interfata.

Valori pentru statusuri:- 0x0 = switch-ul are acest DLCI programat, dar dintr-un motiv (sau altul) nu poate fi folosit. (inactive cred). Posibil celalalt capat al PVC este down.- 0x2 = switchul Frame Relay are acest DLCI programat si totul este operational- 0x4 = switchul nu are acest DLCI programat pentru acest router, dar a fost programat candva in trecut. Ar putea fi cauzat de inversarea DLCI pe router sau PVC a fost sters in norul Frame Relay de catre service provider.

**************************cap 4 - network security

Raportul de cunostinte de retea, de programare si detinerea echipamentelor sofisticate pentru a ataca o retea s-a inversat odata cu trecerea timpului. La inceput trebuia sa ai cunostinte bune ca sa poti folosi cele cateva unelte si atacuri rudimentare; ulterior raportul cunostinte - unelte (tools) s-a inversat, oferind si celor cu cunostinte entry level posibilitatea de a ataca o retea.

Terminologie:- White hat - persoana care cauta vulnerabilitati in sistem / retea si le raporteaza detinatorului retelei / sistemului, pt ca respectivul sa le poata trata. White hat securizeaza vs black hat care sparge securitatea

86

- Hacker - initial desemna un expert in programare. Acum identifica o persoana care incearca sa obtina acces neautorizat la resursele retelei; are intentii ostile.- Black hat - tot o persoana care incearca sa isi foloseasca cunostintele in scop ostil, in general pentru un castig personal sau financiar.- Cracker - un termen mai exact care defineste o persoana care incearca sa obtina acces neautoriza la resursele retelei si care are intentii ostile.- Phreaker - o persoana care manipuleaza reteaua de telefoane ca sa faca o functie nepermisa. O tinta obisnuita a acestuia este sa sparga reteaua de telefonie ca sa faca convorbiri la distante mari, gratuit. - Spammer - trimite mesaje nesolicitate si atasamente cu virusi ca sa preia controlul computerului infectat si sa trimita mai departe spam.- Phiser - foloseste email / altceva ca sa pacaleasca utilizatorii sa isi dea date sensibile / confidentiale, ca datele cardului, parole, etc.

Etapele / pasii unui atac:1. footprint analysis (recunoastere)2. enumerate information - vezi ce stii3. manipulezi userii ca sa obtii acces4. escalezi privilegiile - iti dai privilegii mai mari5. strangi si alte parole si secrete6. instalezi backdoors - ca sa nu mai fi detectat cand intri in sistem7. te folosesti de sistemul infectat ca sa ataci si alte hosturi din sistem

Din perspectiva securitatii o retea poate fi: echilibrata, deschisa, restrictiva, inchisa. *Reteaua inchisa este ferita de riscurile externe, dar tot este expusa riscurilor interne.

Politica de securitate: este un set de principii care ajuta procesul de decizie si le permite liderilor organizatiei sa distribuie autoritatea cu incredere.

O politica de securitate are urmatoarele obiective:- sa informeze utilizatorii, angajatii si managerii de cerintele obligatorii pentru a proteja bunurile tehnologice si informationale.- specifica mecanismele prin care pot fi indeplinite aceste cerinte- furnizeaza o structura de pornire de la care se poate obtine, configura si audita sistemul de computere si retele ca sa fie in conformitate cu politica.

ISO si IEC au publicat un document standard pentru crearea politicii de securitate, numit ISO/IEC 27002. Are 12 sectiuni:- Risk assessment- Security policy- Organization of information security- Asset management- Human resources security- Physical and environmental security- Communications and operations management

86

- Access control- Information systems acquisition, development, and maintenance- Information security incident management- Business continuity management- Compliance

Amenintari comune / Common sec urity threats

Cand vorbesti de securitate vei intalni des 3 elemente:-vulnerabilitati-amenintari-atacuri

Vulnerabilitate = slabiciunea inerenta a unui device / retea.Amenintari = oameni interesati si pregatiti sa obtina avantaje din slabiciunile de securitate.Atacurile sunt desfasurate de amenintari prin scripturi, programe, tool-uri la adresa retelelor si a echipamentelor de retea.

Sunt 3 tipuri de vulnerabilitati / slabiciuni:- de tehnologie- de configurare- de politica de securitate

1. Amenintari la adresa infrastructurii fizice:- amenintari hardware: distrugerea fizica a serverelor, routerelor, switchurilor, cablurilor, workstations- amenintari de mediu (environment): temperatura prea rece / calda, umiditate prea multa / putina)- amenintari electrice: fluctuatii de electricitate, subalimentare, zgomot pe canalele de comunicatie, pierderea completa a curentului.- amenintari de intretinere (maintenance): descarcari electrostatice cauzate de proasta gestionare a echipamentelor (cheie), lipsa pieselor de schimb, cablare proasta, etichetare proasta.

Eliminarea / micsorarea riscurilor hardware:- incuierea echipamentelor si limitarea accesului la acestea- monitorizarea si controlul celor care intra / au acces la echipamente- folosirea camerelor de supraveghere

Eliminarea / micsorarea riscurilor de mediu:- controlul temperaturii- controlul umiditatii- asigurarea unui flux constant de aer- monitorizarea si inregistrarea alarmelor de mediu

Eliminarea / micsorarea riscurilor de alimentare cu energie electrica:

86

- instaleaza sisteme UPS- instaleaza generatoare- respecta un plan de prevenire- instaleaza alimentari de energie redundante- realizeaza alarme remote si monitorizare

Eliminarea / micsorarea riscurilor de intretinere:- foloseste o cablare ingrijita- eticheteaza cablurile si componentele critice- foloseste proceduri de descarcare electrostatice- stocheaza componente de rezerva critice- controleaza accesul la porturile de consola

2. Amenintari la adresa retelei:- amenintari nestructurate- amenintari structurate- amenintari externe- amenintari interne

Amenintarile nestructurate sunt realizate de indivizi neexperimentati, care folosesc tool-uri de hack usor accesibile.Amenintarile structurate sunt realizate de indivizi / grupuri care sunt bine motivati si competenti dpv tehnic.Amenintari externe = indivizi din afara companiei sau care nu au acces la reteaua acesteiaAmenintari interne = indivizi care au acces autorizat la reteaua companiei

3. Social engineering= orice metoda (nu hacking) de a-l convinge pe user sa-si dea datele singur. Ex: phishing.

Tipuri de atacuri ale retelei:Sunt 4 tipuri:- recunoastere- acces- denial of service- worns, viruses, trojan horses

Recunoasterea = descoperirea neautorizata si maparea sistemelor, serviciilor sau vulnerabilitatilor. S.n. si strangere de informatii si de obicei precede un alt atac. Acces = abilitatea unui intrus de a obtine acces la un device pentru care acesta nu are user sau parola. De obicei exploateaza vulnerabilitatile cunoscute ale sistemului / aplicatiei atacate.Denial of service [DoS] = un atacator dezactiveaza sau corupe un sistem, retea sau servciu cu intentia sa interzica servicii anumitor useri. De obicei DoS inseamna crashuirea unui sistem sau incetinirea acestuia pana la punctul in care nu mai este utilizabil. De cele mai multe ori implica rularea unui hack sau script. Viermi, virusi, troieni = sunt introdusi intr-o gazda cu scopul sa o distruga sau corupa, sa se multiplice, sa interzica accesul la retea, la sistem sau la servicii.

86

1. Recunoasterea:poate consta din urmatoarele:- internet information querry- ping sweep- scanarea porturilor- packet sniffers

Cu utilitarele nslookup sau whois, un atacator poate identifica spatiul de adrese alocat unei corporatii / entitati. Pasul urmator este sa trimita ping-uri la toate adresele publice din spatiul de adrese respectiv, ca sa le identifice pe cele active. Tool-uri automate de ping sweep, ca fping sau gping, ii vor face munca si mai usoara. Adresele IP active sunt identificate, iar atacatorul trece la scanarea porturilor, pentru a determina ce servicii de retea sau porturi sunt active pe respectivele adrese. Un port scaner este un soft, ca nmap sau superscan, care este destinat sa caute hostul unei retele pentru a gasi porturile care sunt deschise. Port scaner-ul intreaba portul ca sa determine tipul si versiunea aplicatiei, precum si tipul si versiunea OS-ului. Pe baza acestor informatii intrusul poate incerca sa exploateze posibilele vulnerabilitati existente.

Atacatorii interni pot incerca si “eavesdrop” (a auzi fara sa vrea, desi pare cam voita actiunea :D ) asupra traficului retelei. 4.1.3.2Network snooping si packet sniffing sunt exemple comune de eavesdrop.

Eavesdrop este folosit des pentru:- strangerea de informatii- furtul de informatii

Exemple de date susceptibile la eavesdropping sunt: versiunea 1 de SMNP community string, capturarea perechii user - parola cand acestea sunt trimise (trec prin retea), etc.

O metoda comuna de eavesdropping asupra comunicarii este sa captureze pachete TCP/IP sau de alt protocol si sa le decodezi continutul cu un protocol analyzer. Un protocol analyzer este Wireshark; dupa ce ai capturat pachetele, le poti examina ca sa gasesti informatii valoroase.

Metode de contracarare a eavesdropping:- folosesti switch-uri in loc de hub-uri (si vei avea comunicare full-duplex, traficul nu va mai ajunge la toate hosturile din retea)- folosesti comunicarea criptata- implementezi si intaresti directive ale politicii (de securitate) ca sa interzici utilizarea protocoalelor susceptibile la eavesdropping (folosesti SNMP 3 - care poate cripta community strings, in loc de SNMP 1)

86

O metoda de criptare utila poate fi criptarea payload-only. Aceasta cripteaza doar continutul pachetului, lasa necriptate headerele, in asa fel incat pachetul trece prin switch-uri / routere fara sa fie nevoie sa fie decriptat.

2. Acces:Atacul acces exploateaza vulnerabilitati cunoscute in serviciile de autentificare, FTP, web, pentru a intra in conturi de web, baze de date sau in alte informatii sensibile.

Password attacks:- packet sniffer: obtinerea parolei din pachetele capturate- brute force: dictionare de cuvinte- trojan horses*tools: L0pthCrack, Cain

Trust exploitation:Reteaua este protejata printr-un firewall, dar un host din retea are incredere intr-un host exterior retelei =>> poti ataca reteaua prin intermediul hostului extern in care aceasta are incredere.

Port redirectingEste un tip de trust exploitation, care foloseste un host compromis pentru a tece traficul de firewall. Ex: ai un firewall cu 3 interfete, cate un host pe fiecare interfata. Hostul din exterior poate ajunge la hostul din segmentul de servicii publice, dar nu si la hostul din interior. Segmentul de acces public se numeste DMZ [demilitarized zone] . Hostul din DMZ poate ajunge la ambele hosturi, din interior si din exterior. Atacul vizeaza compromiterea hostului din DMZ si prin intermediul acestuia atacarea hostului din interior. Dupa ce hostul din DMZ este compromis, sunt instalate software-uri care sa redirectioneze traficul de la hostul din exterior la hostul din interior. *tools: netcat

Man-in-the-middle [MITM]Presupune ca un atacator sa se pozitioneze intre 2 hosturi legitime.

- transparent proxy e un exemplu. Atacatorul pacaleste victima printr-un phishing email sau web defacing, dupa care isi insereaza url-ul lui in fata url-ului legitim. Ex: http:www.legitimate.com devine http:www.attacker.com/http://www.legitimate.comTot traficul victimei poate fi interceptat de atacator, care poate sa corupa informatia care se intoarce la victima. Prin alte tipuri de atacuri MITM se pot face si: furt de informatii, obtinerea (highjack / rapirea) unei sesiuni la resurse la care atacatorul nu ar avea acces in mod normal, DoS, coruperea datelor transmise, introducerea de date intr-o sesiune deschisa.

Reducerea atacurilor MITM WAN se face prin folosirea tunelurilor VPN - atacatorul vede doar informatii criptate. Pentru LAN se foloseste port security pe switchuri. *Tool-uri pentru MITM in LAN: ettercap, ARP poisoning.

3. Denial of Service [DoS]

86

Impiedica persoanele autorizate sa ruleze un serviciu prin consumarea resurselor sistemului. Este considerata o forma triviala de atac, pentru ca este usor de implementat.

Exemple:Ping of Death: un ping are in mod normal 64 - 84 bytes. Ping of Death modifica headerul pachetului ping si ii spune ca pachetul are 65535 de bytes, ceea ce face ca vechile sisteme sa crashuiasca. A fost popular la sfarsitul anilor ‘90. Acum cele mai multe retele nu mai sunt susceptibile la acest tip de atac.

SYN flood: exploateaza 3 way handshake. Trimite multiple syn requests (peste 1000) unui server, care raspunde cu syn-ack, dar softul ostil nu mai raspunde cu ack final, ca sa incheie 3-way handshake-ul. Acest lucru leaga serverul care va ramane fara resurse si nu va mai putea raspunde cererii unui host legitim.

E-mail bombs: sunt trimise e-mailuri bulk persoanelor, listelor sau domeniilor, monopolizand serviciul de email.Applet-uri ostile: folosesc Java, JavaScript, ActiveX, care cauzeaza distrugeri sau blocheaza computerul.

DDoS AttacksDistributed DoS sunt menite sa satureze linkurile retelei cu date nelegitime. Astfel se poate incarca linkul, cauzand ca traficul legitim sa fie dropped. DDoS foloseste metode de atac similare cu DoS, dar la o scala mult mai mare. In general sute sau mii de puncte de atac incearca sa copleseasca o tinta.

De obicei un DDoS are 3 componente:- 1 client / atacator- 1 handler care este un host compromis si care este capabil sa gestioneze mai multi agenti- 1 agent care este un host compromis pe care ruleaza programul de atac si care este responsabil de generarea fluxului de pachete catre tinta.

Exemple de atacuri DDoS:- smurf- tribe flood network- stacheldraht- MyDoom

Atacul smurf foloseste mesaje ping pe adrese de broadcast capturate (spoofed) pentru a floda un sistem tinta. In pasul 1 atacatorul trimite ICMP echo request catre o adresa de broadcast de retea (direct broadcast) cu o adresa valida, luata dintr-un pachet spoofed. Routerul face broadcast de la L3 la L2, cele mai multe hosturi raspund cu ICMP echo reply, multiplicand traficul cu nr de hosturi care raspund. Intr-o retea multiple access broadcast network pot fi sute de hosturi care raspund unui astfel de mesaj. Preventia la acest tip de atac se face prin oprire (turn off) a broadcastului direct; de la IOS 12.0 acesta este oprit.

86

Atacurile DoS si DDoS pot fi reduse prin implementarea listelor de acces anti spoof si anti DoS. ISP-isti pot sa implementeze si controlul traficului (prin rate), limitand volumul de trafic neesential din segmentele de retea. Un exemplu comun este limitarea traficului ICMP, pentru ca este trafic doar de diagnosticare.

Malicious code attacks (atacuri prin cod ostil): viermi, virusi, troieni

Un vierme executa cod si instaleaza copii ale lui in memoria computerului infectat, care la randul lui poate sa infecteze alte computere.

Un virus este un software ostil care este atasat altui program cu scopul de a executa functii nedorite pe o statie.

Un troian este o intreaga aplicatie care a fost scrisa ca sa arate ca altceva, ca sa mascheze ca este un instrument de atac (attacking tool).

Cum arata atacul unui vierme:- vulnerabilitate activata: viermele se instaleaza- mecanism de propagare: dupa ce s-a instalat, viermele se copiaza si isi selecteaza noile tinte- payload: dupa ce hostul este infectat, de obicei atacatorul are acces la host cu privilegii de user. Atacatorul poate folosi exploit-urile locale ca sa isi dea privilegii de administrator.

Viermii sunt programe de sine statatoare care infecteaza sisteme si incearca sa se propage si la alte sisteme conectate? cu acestea.

Diminuarea / eliminarea acestor atacuri implica multa rigurozitate din partea adminilor de retea si de sistem (ai a echipelor acestora). Pasii recomandati sunt:- containment (izolare) a raspandirii viermior in retea (izolarea segmentelor de retea? )- inoculation (vaccinare): aplicarea patch-urilor tuturor sistemelor- carantina: blocarea masinilor infectate, izolarea acestora- tratare: curatarea si patch-uirea fiecarui sistem infectat

Virusi si troieniElementul care diferentiaza un vierme de un virus este ca virusul are nevoie de interactiunea umana pentru a se raspandi (printr-un atasament la un mail, etc). De virusi si troieni te protejezi cu antivirusi pentru useri si pentru retea.

Tehnici de reducere / eliminare a amenintarilor- device hardening (protejarea device-urilor) prin schimbarea user + pass default, accesul la resursele sistemului permis doar celor in drept, oprirea / dezinstalarea aplicatiilor sau serviciilor care nu sunt necesare.- instalarea softurilor antivirus - folosirea firewall-urilor- aplicarea patch-urilor sistemelor de operare

Dispozitive si aplicatii de securitate

86

In trecut un firewall era suficient pentru securizarea retelei, dar acum a devenit necesara folosirea unei abordari integrate / unei solutii mai complexe: firewall + intrusion prevention + VPN.

Abordarea integrata presupune:- controlul amenintarilor: reguleaza accesul la retea, izoleaza sistemele infectate, previne intruziunile, protejeaza bunurile (assets) prin contracararea traficului ostil (viermi si virusi). Echipamente care ofera aceasta functie sunt: seria Cisco ASA 5500 (ASA = Adaptive Security Appliance), Integrated Services Routers (ISR), Network Admission Control (NAC), Cisco Security Agent for Desktop, Cisco Intrusion Prevention Systems (IPS).- securizarea comunicatiilor: securizezi cu VPN-uri. Echipamente care ofera VPN: routerele ISR cisco cu Cisco IOS VPN solution, Cisco 5500 ASA, switch-urile Catalyst 6500.- Network Admission Control: previn accesul neautorizat la retea- IOS-ul Cisco de pe ISR-uri: multe dintre masurile de securitate cerute de clienti se afla incluse in IOS-ul cisco (trebuie sa mai stii cum sa le configurezi ;) )- Cisco ASA 5500: firewall-ul PIX a evoluat si acum include: firewall, voice security, SSL si IPsec VPN, IPS si servicii de securitate a continutului, toate intr-un singur device.- senzori din seria IPS 4200: acesti senzori identifica, clasifica si opresc traficul ostil- Cisco NAC appliance: foloseste infrastructura de retea pentru a intari conformitatea cu politica de securitate pentru toate echipamentele ce vor sa acceseze resursele retelei.- Cisco security agent (CSA): este un software care ofera capabilitati de protectie pentru servere, desktopuri si sistemele de computere point-of-service (POS). Le protejeaza impotriva atacurilor tintite / directionate, spyware, rootkits, day-zero.

The network security wheelCele mai multe incidente de securitate au loc pentru ca sys adminii nu implementeaza masurile de securitate disponibile si atacatorii / angajatii nemultumiti exploateaza aceste scapari =>> nu trebuie doar sa gasesti vulnerabilitatea si contramasura, ci sa te si asiguri ca solutia este folosita si ca functioneaza corect.

Network security wheel este un proces continuu, care presupune retestarea si reaplicarea masurilor de securitate updatate, in mod continuu.

Politica de securitate include urmatoarele:- identifica obiectivelor de securitate ale organizatiei- documenteaza resursele care trebuie protejate- fa o inventariere si o harta a infrastructurii de retea- identifica resursele critice pe care trebuie sa le protejezi

Pasii de la security wheel sunt:- securizeaza - monitorizeaza- testeaza- imbunatateste

1. Securizeaza:

86

- aparare la amenintari- inspectie stateful si filtrarea pachetelor

* stateful inspection = un firewall care pastreaza informatii despre starea unei conexii in tabela de stare ca sa poata recunoaste schimbarile din conexiune care ar putea insemna ca un atacator incearca sa deturneze o sesiune sau sa manipuleze o conexiune.

- sistem de prevenirea intruziunilor (IPS), pus la nivelul host si retea pentru a opri in mod activ traficul ostil

- patch-uirea vulnerabilitatilor - se repara sau se iau alte masuri pentru a opri exploatarea vulnerabilitatilor cunoscute

- dezactivarea serviciilor care nu sunt necesare - cu cat sunt mai putine servicii, cu atat este mai greu pentru un atacator sa obtina acces

Conexiuni securizate:- VPN-urile - cripteaza traficul de retea pentru preveni dezvaluirea informatiilor catre indivizi neautorizati / ostili- trust and identify - implementezi constrangeri stranse pe nivele de incredere (in cadrul retelei).- autentificare - dai acces doar userilor autorizati- intarirea politicii - te asiguri ca userii si end device-urile resprecta politica corporate

2. Monitorizare:Monitorizarea securitatii implica metode pasive si active de a detecta incalcari ale securitatii.Metoda cea mai comun folosita este sa auditezi fisierul de log la nivel de host. Sys adminii trebuie sa activeze sistemul de auditare pentru fiecare host din retea si sa verifice si sa interpreteze intrarile din aceste fisiere.

Metodele pasive includ dispozitive IDS (intrusion detecting systems) pentru a detecta automat intruziunile. Aceasta metoda necesita din partea adminului de securitate a retelei mai putina atentie decat metodele active. Metodele active pot detecta in timp real violarile de securitate si pot fi configurate sa raspunda imediat, inainte ca intrusul sa poata strica ceva.

Un beneficiu in plus al monitorizarii retelei este verificarea daca masurile de securitate implementate la pasul 1 sunt configurate si functioneaza corect.

3. Testarea:In aceasta etapa masurile de securitate sunt testate proactiv. Mai precis sunt verificate masurile din pasii 1 si 2. Unelte de verificarea vulnerabilitatilor de securitate ca nessus sau nmap sunt folosite pentru testarea periodica a masurilor de securitate de la nivelul retelei si al hostului.

4. Imbunatateste:Implica analiza datelor colectate in timpul fazelor de monitorizare si testare. Are ca rezultat amplificarea politicii de securitate prin imbunatatirea mecanismului implementat <=> se adauga itemi la pasul 1.

*Securizarea este un proces continuu.

Politica de securitate a unei companii

86

Politica de securitate este un set de indrumari menite sa fereasca reteaua de atacuri, din interior si exterior.

Politica de secutitate aduce urmatoarele beneficii organizatiei:- furnizeaza o modalitate de auditare a securitatii existente si compara cerintele cu ce este gasit in acel moment- planifica imbunatatirile de securitate, inclusiv echipamente, software si proceduri.- defineste rolurile si responsabilitatile executivilor, userilor, administratorilor- defineste ce comportamente sunt permise si ce nu- defineste procedura de gestionare a incidentelor de securitate- activeaza o implementare globala a securitatii si o intareste prin actionarea ca si cum ar fi un standard intre locatii- creaza o baza pentru actiuni legale, daca este cazul

Politica de securitate este un document viu, in continua actualizare.

Functiile unei politici de securitate- protejeaza oamenii si informatiile - stabileste regulile de comportament asteptat din partea userilor, executivilor, adminilor- autorizeaza personalul de securitate sa monitorizeze, probeze, investigheze- defineste si autorizeaza consecintele violarilor de securitate*nu intotdeauna este necesar sa explici de ce este ceva facut intr-un anumit fel

Componentele politicii de securitate*nu sunt toate obligatorii- declaratia de autoritate si aria de cuprindere: defineste cine din organizatie sponsorizeaza politica de securitate, cine este responsabil pentru implementarea ei, ce arii sunt acoperite de politica de securitate.- politica de utilizare acceptata: defineste modul de utilizare acceptat al echipamentelor si serviciilor, masurile de securitate potrivite pentru angajati pentru a proteja resursele companiei si informatiile proprietare- politica de identificare si autorizare: defineste ce tehnologii foloseste compania pentru a se asigura ca doar personalul autorizat are acces la date.- politica de acces la internet- politica de acces la campus- politica de acces remote- procedurile de gestionare a incidentelorin plus mai poti sa folosesti:- politica de solicitare a accesului la cont- politica de achizitii de valori- politica de audit- politica pentru informatii sensibile- politica pentru parole- politica de analiza a riscului- politica globala pentru web serveraltele

86

- politica de forwardare automata a emailurilor- politica de trimitere de emailuri- politica pentru spamremote access:- politica de acces dial-in - politica de remote acces- politica de securitate VPN

Cine incalca politica de securitate poate fi concediat.

Probleme de securitate ale routerelorSecuritatea routerelor este un element critic cand vorbim despre securitate (a retelei), pentru ca routerele indeplinesc rolul de:- anuntarea retelelor si filtreaza cine le poate folosi- ofera acces la segmentele de retea si subretea

Motivele pentru care routerele sunt atacate:- daca compromiti controlul accesului, poti sa dezvalui detaliile de configurare a retelei, facilitand atacul asupra componentelor retelei- daca compromiti tabela de rutare poti sa reduci performanta, sa interzici servicii de comunicare in retea, sa dezvalui date sensibile- configurand gresit un filtru de trafic poti sa expui componentele retelei la atacuri / scanari, usurand evitarea detectiei pentru atacatori.

Securizarea routerelor la perimetrul retelei este un important prim pas in securizarea retelei. Securizarea routerelor inseamna:- securizare fizica- actualizarea IOS routerelor ori de cate ori este indicat- backupul configuratiei si IOS-ului routerelor- intarirea routerul prin eliminarea abuzului potential referitor la porturile si serviciile nefolosite.

Securitatea fizica = amplaseaza routerul intr-o zona cu acces controlat, incuiata, fara interferente magnetice, electrosatatice, controleaza temperatura si umiditatea, trece alimentarea curentului printr-un UPS, cumpara / stocheaza piese de schimb.

Echipamentele care se conecteaza la router trebuie sa fie si ele securizate sau aflate sub jurisdictia cuiva de incredere. Daca sunt expuse ar putea sa fie infectate cu troieni sau alte executabile.

Da-i routerului maximul de memorie posibila :D ca sa fie mai ferit de DoS. Nu-i pune ultimul IOS, ci pe cel mai stabil. Pastreaza o copie de siguranta a IOS-ului si a fisierului de configurare, ca in caz de nevoie sa ai optiune de backup.

Elimina serviciile care pornesc default si de care nu te folosesti.

Pasi pentru a securiza un router:

86

1. gestionezi securitatea routerului2. securizeaza accesul la administrarea remote 3. foloseste un log pentru activitatea routerului4. securizeaza serviciile si interfetele vulnerabile ale routerului5. securizeaza protocoalele de rutare6. controleaza si filtreaza traficul de retea

1. gestionezi securitatea routeruluiConfigureaza o parola puternica:- nu o scrie pe ceva pe care apoi sa il lasi la vedere- nu folosi cuvinte din dictionar- combina litere, cifre, simboluri.- scrie gresit cuvintele (intentionat)- foloseste cel putin 8 caractere- schimba des parolele-! parafrazeaza

Cripteaza parolele - IOS-ul cisco le lasa default in plain text.R(config)#service password-encryptionIn show run, 0 la parola = nu e criptata, 7 = e criptata cu algoritm cisco, 5 e criptata cu un hash MD5. Criptarea cu MD5 se face cu comanda enable secret text

R1(config)# username Student secret cisco >>> cripteaza cu md5 parola userului Student.

PAP si CHAP nu pot folosi criptarea md5.

R2(config)#security password min-length >>> defineste lungimea minima a parolei (de la IOS-ul 12.3(1) ).

2. securizeaza accesul la administrarea remote

Cel mai securizat mod de a te conecta la un router este prin consola. Daca totusi nu ai cum sa te conectezi prin consola, te vei conecta remote. Conectarea remote trebuie facuta cu alicarea unor precautii suplimentare de securitate.

Pentru a securiza accesul la administrarea remote a switchurilor si routerelor intai trebuie sa securizezi liniile administrative (VTY si AUX), apoi configurezi reteaua sa cripteze traficul prin tunele SSH. Accesul remote inseamna Telnet, SSH, HTTP, HTTPS, SNMP.

Pentru acces remote:- instaleaza o retea dedicata pentru management care sa includa doar hosturile de administrare si conexiunile la device-urile de infrastructura. - cripteaza tot traficul dintre router si computerul de administrare.

86

Securizarea remote access se refera la VTY si la TTY (text telephone). TTY = acces asincron la router folosind un modem. Daca vrei sa blochezi o linie (VTY sau TTY), folosesti comenzile no password si login, adica ii ceri explicit o parola, dar aceasta nu exista => nu te poti loga pe acea linie.

Pentru VTY, folosirea Telnet sau SSH se face cu comenzile:R(config-line)#no transport input >>> anulez protocolul anteriorR(config-line)#transport input telnet ssh >>> pot sa le dau pe amandoua sau doar unul dintre ele.

Un device Cisco are de obicei 5 linii virtuale => daca sunt toate deschise (inclusiv in idle) nu mai poti deschide o alta linie =>> trebuie ca ultima linie virtuala sa nu accepte conexiuni decat de la o masina de administrare aflata strict sub controlul tau (faci reguli prin ACL cu comanda ip access-class); alta optiune este comanda exec-timeout <minute> (din config-line) combinata cu comanda service tcp-keepalive-in (din config)

telnet este pe portul TCP 23ssh este pe portul TCP 22

Nu toate IOS-urile Cisco suporta SSH; de obicei doar cele cu k8 sau k9 in nume suporta SSH.

Accesul din terminal prin ssh permite adminilor sa faca urmatoarele:- sa se conecteze (securizat) la un router care are linii multiple de terminal cu porturile de consola sau seriale ale altor routere, switchuri sau device-uri- sa simplifice conectarea la routere de oriunde, conectandu-se securizat de oriunde la un terminal-server pe o linie specifica- sa permita modemurilor atasate routerelor sa fie folosite pentru dial-out securizat- sa solicite autentificarea pe fiecare linie, folosind fie user + parola locale, fie un server TACACS+ sau RADIUS

Routerele cisco functioneaza ca server si client de SSH. Ca client se conecteaza la un server de ssh, ca server permit clientilor sa se conecteze la ele prin ssh.

Cand activezi SSH, trebuie sa configurezi::- hostname- numele domeniului- chei asimetrice- autentificare localaoptional mai configurezi si:- numarul de reincercari de conectare- timeouts

Router(config)#hostname R1R1(config)#ip domain-name alexandru.comR1(config)#crypto key generate rsa >>> de preferat dimensiunea 1024R1(config)#username Student password cisco123

86

R1(config)#line vty 0 4R1(config-line)#transport input sshR1(config-line)#login localR1(config-line)#endR1(config)#ip ssh time-out 15R1(config)#ip ssh authentication-retries 2

La conectarea remote trebuie sa dai user si parola ca sa te poti conecta (logic :D ).

3. foloseste un log pentru pastrarea activitatilor routerului

Logurile iti permit sa identifici daca un router functioneaza corect sau daca a fost compromis. Uneori din loguri poti sa vezi ce tipuri de probe sau atacuri sunt incercate asupra routerului sau retelei.

Configurarea logarilor (syslog) pe router trebuie facuta cu grija. Trimite logurile catre un log host, iar log host-ul trebuie sa fie conectat la o retea de incredere sau protejata sau la o interfata de router izolata si dedicata. Intareste log host-ul prin eliminarea serviciilor si conturilor care nu sunt necesare.Routerele suporta 8 nivele de logare, 0 este cel mai important (arata ca sistemul e instabil), 7 este pentru informatii din mesajele de debug.

Logurile pot fi forwardate catre diferite locatii: memoria routerelor (volatila), sau catre un server dedicat pentru loguri. Un server de syslog este o solutie mai buna, pentru ca mai multe masini pot trimite logurile catre acesta, iar adminul le poate urmari (eventual centralizat?). Exemplu de aplicatie de server syslog este kiwi syslog daemon.De asemenea ia in calcul trimiterea logurilor si catre o a 2-a locatie, ca sa tratezi si worst case scenario. *Logurile trebuie citite cu regularitate. In acest fel te vei obisnui cu modul normal de functionare a retelei si vei repera mai usor atacurile / functionarea anormala.

E necesar ca timpul sa fie inregistrat corect. Desi routerele au un ceas intern, este mai indicat sa folosesti servere de timp (minim 2, pentru redundanta). Aceste servere se numesc servere NTP (network time protocol).

4. serviciile si interfetele vulnerabile ale routerului

Routerele cisco suporta multe servicii de retea de layer 2, 3, 4, 7. Daca nu le folosesti, dezactiveaza-le. Unele dintre ele sunt dedicate fie configurarilor specializate sau mostenite (legacy), fie sunt servicii de layer aplicatie (L7). Este recomandat sa opresti: CDP, TCP si UDP small servers, finger, http server, BOOTP server, configuration autoloading, IP source routing, proxy ARP, IP direct broadcast, clasless routing behavior ???, IP unreachable notifications, IP mask reply, IP redirects, NTP services, SNMP, DNS.

86

La unele din serviciile de mai sus, daca nu le dezactivezi, ar trebui sa restrictionezi accesul / securizare.

5. securizeaza protocoalele de rutare

Sistemele de pe routere pot fi atacate in 2 feluri:- subminarea perechilor- falsificarea informatiilor de rutare

Subminarea perechilor nu este critica, pentru ca protocoalele de rutare se vindeca intre ele. Un atac mai subtil este cand se falsifica informatiile de rutare si sistemele se vor minti intre ele, cauzand un DoS sau traficul va fi rutat pe o cale pe care nu ar parcurge-o in mod normal.

Falsificarea informatiilor de rutare poate cauza:- redirectarea traficului ca sa rezulte bucle de rutare- redirectarea traficului ca sa poata fi monitorizat- redirectarea traficului ca sa fie aruncat

Pentru a preveni aceste neplaceri se poate folosi autentificarea protocoalelor de rutare si criptarea informatiilor de rutare.

Autentificarea in RIPv2:r(c)#router ripr(c-router)#passive-interface defaultr(c-router)# no passive-interface s0/0/0r(c)#key chain rip_keyr(c-keychain)#key 1r(c-keychain-key)#key-string ciscor(c)#int s0/0/0r(c-if)#ip rip authentication mode md5r(c-if)#ip rip authentication key-chain rip_key

Aceste comenzi trebuie date pe toate routerele pe care ruleaza rip.

Autentificarea in EIGRPr(c)#kay chain eigrp_keyr(c-keychain)#key 1r(c-keychain-key)#key-string ciscor(c-keychain-key)#exitr(c-keychain)#exitr(c)#int s0/0/0r(c-if)#ip authentication mode eigrp 1 md5r(c-if)#ip authentication key-chain eigrp 1 eigrp_key

Autentificare in OSPFr(c)#int s0/0/0

86

r(c-if)#ip ospf message-digest-key 1 md5 ciscor(c-if)#ip ospf authentication message-digestr(c-if)#exitr(c)#router ospf 10r(c-router)#area 0 authentication message-digest

Auto SecureEste o singura comanda, dar care dezactiveaza procesele si serviciile neesentiale. are 2 moduri de functionare:- interactiv: te intreaba promptul - non interactiv: nu te intreabaComanda este auto secure

Cisco router and security device manager (SDM) furnizeaza un feature similar cu auto secure.

SDM este un tool web-based prin care se poate face configurarea LAN, WAN si a functiilor de securitate pe routerele cu IOS cisco + configurare VPN si firewall.Cisco recomanda instalarea SDM pe toate routerele moderne. Ca sa instalezi SDM-ul, trebuie mai intai sa:- te conectezi la router- activezi HTTP si HTTPS pe router- creezi un cont cu parola si privilegii de exec (level 15)- configurezi ssh sau telnet pentru login local si privilegii level 15

SDM este stocat in memoria flash (dar poate fi stocat si pe un PC). Ca sa lansezi SDM-ul, scrii adresa routerului intr-un browser, cu HTTPS pentru ssh, sau http pentru telnet.

Intretinerea IOS-ului routeruluiPeriodic la un router se updateaza fie IOS-ul, fie fisierul de configurare.*nu e mereu indicat sa faci update la cel mai nou sistem de operare, pt ca e posibil sa nu fie stabil.

Update = inlocuieste un release cu altul, fara sa modifice setul de feature-uri. Noul release fixeaza bugurile sau inloieste vechiul release, care nu mai este suportat. Sunt gratisUpgrade = inlocuieste... si modifica setul de feature-uri. Nu sunt gratis.

Cisco recomanda un proces de migrare in 4 pasi: - planifici: setezi obiectivele, identifici resursele, faci profilul retelei, creezi un orar preliminar pentru migrarea la noul release.- design: alegi noile release-uri de IOS-uri cisco si creezi o strategie de migrare la acestea- implementezi: schedule si executi migrarea- operezi: monitorizezi procesul de migrare si faci copii de siguranta ale imaginilor (IOS-urilor?) care ruleaza in reteaua ta.

Tools care te ajuta la migrare:

86

- fara login pe site-ul cisco: Cisco IOS reference guide, cisco IOS software technical document, software center.- cu login...: bug toolkit, cisco feature navigator, software advisor, cisco IOS upgrade planner.

4.5.2.1Sistemul de fisiere (integrated file system)Daca un atacator iti sterge fisierul de configurare sau IOS-ul trebuie sa fii capabil sa il pui la loc. Evident, trebuie sa ai backup la ele.

Network file system include folosirea ftp, tftp, rcp (remote copy protocol).=> cursul acesta se concentreaza pe tftp.

La show file system, * = sistemul default, iar # = discul este bootabil (discul este memoria flash, care nu prea e disc :D )caracterul # se citeste pound

dir afiseaza un sistem de fisiere din directorul curent.cd nvram:pwd >>> ca il linux, iti arata calea catre directorul curentdir >>> afiseaza directorul curent.

Prefixe URL pentru device-urile cisco

Pentru examplul tftp://192.168.20.254/configs/backup-configs:"tftp:" = prefixtot ce e dupa // = locatia

1. 192.168.20.254 este locatia serverului TFTP2. "configs" este master directory3. "backup-configs" este fisierul

Copierea din RAM in NVRAM:R2# copy running-config startup-configcopy system:running-config nvram:startup-config

Copierea din RAM intr-o locatie remote:R2# copy running-config tftp:R2# copy system:running-config tftp:

Copierea dintr-o sursa remote in running-configR2# copy tftp: running-configR2# copy tftp: system:running-config

Copierea dintr-o sursa remote in startup-config:R2# copy tftp: startup-configR2# copy tftp: nvram:startup-config

86

Numele IOS este ca in linux. Exemplu:c1841-ipbase-mz-123-14.t7.bin se traduce in:c1841 = platforma pe care ruleaza (careia ii este destinat)ipbase = feature-ul, ipmz = formatul fisierului: m = ruleaza in RAM, z = comprimat123-14.t7 = version number 12.3(14)T7bin = binary executableAlte optiuni: i = destinat pentru setul de features IPi = destinat pentru setul de protocoale enterprise. Definesc un set de features in plus (extra queueing, manipulare, translatie)56i = arata encryption DES IPsec pe 56 biti (criptare pe 56 biti)3 = destinat pentru firewall / DSk2 = criptare DES pe 168 biti IPsec

Cand faci update pentru IOS:Prima data confirmi dimensiunea update-ului (si instalezi mai multa memorie daca este cazul), testezi terminalul pentru conexiunea la router, planifici update-ul pentru perioade mai linistite (in afara orelor de munca), dupa care, la pasul 2: dai shut down pe interfetele nefolosite, faci backup la running config si IOS (pe un server tftp), faci transferul de fisiere, testezi functiile updatate (daca e ok mergi mai departe, daca nu e ok faci back out si reiei tot procesul) si scoti interfetele din shut.

Backup pe server tftp:1. ping in serverul de tftp2. show flash: arata:- cata memorie flash are routerul- cata memorie flash e disponibila- numele fisierelor din memoria flash3. copiezi IOS-ul de pe router pe serverul de tftp

*cand copiezi IOS pe un router ai grija sa fie IOS pentru acel router, altfel se poate intampla ca routerul sa nu mai poata boota si sa fii obligat sa folosesti ROMmon!

R1(config)#boot system flash numeIOS >>> ii spune explicit routerului cu ce IOS din flash sa booteze. trebuie salvat run in start

Daca routerul nu mai are IOS si a fost restartat, va intra in ROMmon. Acesta dispune de putine comenzi, dar iti da posibilitatea sa incarci un IOS corespunzator pentru router. Trebuie sa ii configurezi o interfata si sa ii spui de unde isi ia IOS-ul (TFTP), dupa care dai comanda tftpdnld (tftp download).

Poti restaura IOS-ul si folosind Xmodem, dar pentru ca merge prin cablul de consola, este foarte lent comparat cu tftp. Viteza default este de 9600 b/s, dar poate fi setata si pe router si pe HyperTerminal la 115000 b/s (creste foarte mult).

86

Comanda este data din ROMmon: xmodem cyr; semnificatia c, y, r difera in functie de configuratie. c = CRC 16, y = Ymodem protocol ??, r = copiaza IOS in RAM.

Troubleshooting

Show vs debug:show afiseaza parametrii configurati si valorile lor; incarcarea procesorului este micadebug iti permite sa urmaresti executia unui proces; incarcarea procesorului este mare

Debug in mediul de productie, ai grija ca:- debug primeste timp de CPU (are prioritate mare).- debug te ajuta sa identifici si sa rezolvi probleme persistente ale retelei- debug poate genera volume mari de date. Ar fi bine sa stii dupa ce te uiti inainte de a da debug.- formatul informatiilor difera pentru debug-uri diferite- planifica folosirea debug (in afara orelor de munca - poate sa iti blocheze routerul)

Comenzi folosite cu debug:R1(config)#service timestamps debug datetime msec >>> adauga timpul la mesajele sau logurile debug-ului.R1(config)#show proceses >> afiseaza cat procesor folosesc proceseleR1(config)#no debug all >> opreste toate debugurileR1(config)#terminal monitor >> afiseaza outputul debugului pe sesiunea mea vty curenta

Pentru a folosi cat mai eficient uneltele de debug, trebuie sa iei in considerare:- impactul asupra performantelor routerului- care este modul cel mai selectiv de a folosi debugul (debugul cel mai specific)- cum fac sa minimizez impactul asupra celorlalte procese- cum opresc debugul dupa ce am aflat ce ma interesa

Recuperarea parolei

Ca sa recuperezi o parola trebuie sa ai acces fizic la router; singura parola care poate fi recuperata este enable password; enable secret este criptata, deci trebuie inlocuita.Configuration register al routerului este similar cu setarile BIOS ale unui PC. Configuration register este cel mai des folosit pentru recuperarea parolei (mai are si alte functii).

1. te conectezi la consola2. daca ai acces la R> dai show version si verifici valoarea de la configuration register. Ar trebui sa fie 0x2102 (asta e de cele mai multe ori).3. Inchizi si deschizi routerul din butonul de power4. apesi / dai break din tastatura terminalului in primele 60 de sec ca sa intri in ROMmon.5. in rommon1>confreg 0x2142 face ca routerul sa nu incarce startup-config.6. rommon2>reset routerul se restarteaza, dar nu incarca startup-config. Te intreaba daca vrei sa configurezi cu wizard-ul.7. dai nu ca sa nu rescrie startup-ul existent in nvram.

86

8. copiezi start in run. Nu copiezi invers pentru ca pierzi setarile vechi ale routerului!9. show run iti afiseaza parolele salvate in text clar10. rescri parolele criptate11. default interfetele au intrat in shut, trebuie sa le reactivezi12. R1(config)#config-register 0x2102 >> ca sa tina cont de noul startup-config13. copiezi run in start ca sa salvezi modificarile

R1(config)#login block-for 300 attempt 2 within 120 >> blocheaza loginul 300 sec daca a gresit de 2 ori parola de autentificareR1(config)#security authentication failure rate 5 log >> inregistreaza autentificarile esuate?

R1(config)#aaa new-model >> ? ce face ?R1(config)#aaa authentication login LOCAL_AUTH local >>creaza o lista de autentificare definita local.

pentru SDM ar trebui sa ai SDM instalat pe router si sa ai user + parola si sa fi dat comanda R2(config)#ip http secure-server

************************************************cap 5 - Access Control List (ACL)

ACL-urile iti permit sa controlezi traficul in / din retea. Pot fi simple (interzici sau permiti retele sau hosturi) sau mai complexe (interzici porturi).

Porturi TCP:- well-known [0-1023]: 21 - FTP, 23 - telnet, 25 - SMTP, 80 - HTTP, 110 - POP3, 194 - internet relay chat (IRC), 443 - HTTPS- registered ports [1024 - 49151]: 1863 - MSN Messenger, 8008 - Alternate HTTP, 8080 - Alternate HTTP (da, e corect).

Porturi UDP:- well-known: 69 - TFTP, 520 - RIP.- registered ports: 1812 - RADIUS authentication protocol, 2000 - cisco SCCP (VoIP), 5004 - RTP (voice and video transport protocol), 5060 - SIP (VoIP).

Filtrarea pachetelorFiltrarea pachetelor (numita uneori si filtrare statica a pachetelor) controleaza accesul la retea prin analizarea pachetelor care intra / ies si permiterea / interzicerea lor pe baza unui set de criterii.

Routerul face filtrare la L3 (mai face si la L1,2,4,7 - dar nu zice materialul, in aceasta pagina).Regulile dupa care routerul face filtrare sunt definite in ACL-uri. ACL-ul = script de configurare care permite sau interzice pachete, pe baza unei liste de intrari permit si deny care se aplica adreselor IP sau protocoalelor superioare.

ACL-urile isi extrag din headerul pachetului: IP sursa, IP destinatie, tipul mesajului ICMP.

86

ACL-urile isi pot extrage informatii despre layerele superioare din: portul sursa TCP/UDP sau portul destinatie TCP/UDP.

ACL-urile mai sunt folosite si pentru selectarea tipului de trafic care va fi analizat, forwardat sau procesat in alt fel. Cand un pachet este primit pe o interfata care are asociat un ACL pe in, ACL-ul va fi analizat de sus in jos, cautandu-se o linie care sa se potriveasca. ACL-ul intareste 1-n politici de securitate corporate prin decizii deny / permit; ACL-urile pot fi configurate sa controleze accesul la o retea / subretea.

By default routerele nu au ACL-uri configurate => by default nu filtreaza traficul.

Guidelines pentru folosirea ACL-urilor:- foloseste ACL-uri in routerele cu rol de firewall aflate intre reteaua ta si o retea externa (internet) - foloseste ACL-uri pe routerul care separa 2 parti ale retelei tale interne, pentru a controla traficul care intra sau iese dintr-o zona specifica- foloseste ACL-uri pe routerele de granita (border routers)- configureaza ACl-uri pentru fiecare protocol de retea de pe interfetele routerelor de granita.

Poti configura:- 1 ACL per protocol- 1 ACL per interfata- 1 ACL per directie==>> cei 3 P, per proto, per interfata, per directie. ==>>> ex: pentru 3 protocoale pe un router cu 2 interfete pot avea 3x2x2 ACL <=> 12 ACLProtocoalele din exemplu: IP, IPX, AppleTalk

ACL-urile fac urmatoarele taskuri:- limiteaza traficul din retea pentru a creste performanta retelei (fara trafic video)- ofera controlul fluxului de trafic (update-uri de rutare doar la nevoie)- ofera un nivel de securitate de baza pentru accesul retelei. (cine ce are voie sa acceseze)- decid ce tip de trafic este blocat / forwardat la interfetele routerului (email da, telnet nu)- ecraneaza hosturile ca sa le permita / refuze accesul la serviciile retelei (acces la HTTP, FTP, etc).ACL-urile mai fac, pe langa permit / deny trafic, si clasificarea traficului ca sa activeze procesele de prioritate.

Modul de functionareACL-urile actioneaza pe pachetele care intra sau ies din router (care tranziteaza routerul), nu si pe pachetele generate de router.

Inbound ACL: pachetele sunt analizate inainte sa fie trimise la interfata de iesire. Daca pachetul este aruncat, se economiseste timpul in care ar fi fost cautata ruta. Outbound ACL: pachetul este trimis interfetei de iesire, unde este analizat.

86

ACL-ul este parcurs de sus in jos. Cand se face match pe o conditie se opreste verificarea. *Ultima conditie din ACL este implicita si este deny all. Cisco recomanda sa o treci de mana, pentru ca asa poti sa vezi cate pachete au facut match pe ea.

Un ACl poate fi aplicat mai multor interfete. Cu toate astea, trebuie sa fie doar 1 ACL per protocol, directie si interfata.

Pentru Outbound ACLCand routerul primeste un pachet, verifica daca are cum sa il trimita mai departe. Daca nu are cum, il arunca. Daca are ruta, il trimite pe interfata de iesire, unde este verificat conform ACL-ului. Conform conditiilor din ACL pachetul este forwardat mai departe sau aruncat.

*Ai grija la deny any care este implicit la sfarsitul ACL-urilor. In cazul protocoalelor de rutare, daca nu esti atent cand configurezi ACL-ul, poti sa nu permiti update-urile si sa pierzi comunicarea intre routere!

Tipuri de ACL-uri CiscoACL-urile Cisco sunt standard si extinse.

- ACL-urile standard: filtreaza traficul numai in functie de IP sursa.- ACL-urile extinse: filtreaza traficul dupa mai multe criterii: ip sursa/destinatie, port sursa/destinatie, tipul protocolului.

Numarul ACL-ului:- ACL standard: 1-99 reunit cu 1300-1999-ACL extins: 100-199 reunit cu 2000-2699

ACL-urile pot avea nume. Este indicat ca:- numele sa contina caractere alpha-numerice- numele sa fie scris cu majuscule- numele nu pot contine spatii sau semne de punctuatie si trebuie sa inceapa cu o litera- in cazul ACL denominate (= cele cu nume) poti adauga sau sterge intrari.

Pozitionarea ACL-urilorPlasarea optima a ACL-urilor face ca reteaua sa opereze mai eficient. Regula de baza este sa plasezi ACL-urile:- standarde cat mai aproape de destinatie (ca sa nu interzici traficul legitim de la o sursa, pentru ca filtrezi numai dupa IP sursa)- cat mai aproape de sursa, ca sa nu incarci reteaua cu pachete pe care oricum le-ar arunca routerul cu ACL.

ACL Best Practices: 1. Bazeaza-ti ACL-ul pe politica de securitate a companiei >>> asa te asiguri ca implementezi guideline-urile de securitatea ale companiei2. Pregateste o descriere a ce vrei sa faca ACL-ul >> o sa eviti inadvertentele si nu vei crea probleme de acces

86

3. foloseste un editor de text ca sa creezi, editezi si salvezi ACL-urile >>> vei putea refolosi ACL-urile ;)4. testeaza ACL-urile pe o retea de dezvoltare inainte de a le implementa pe o retea din productie >>> te ajuta sa eviti erori costisitoare.

ACL-urile trebuie sa aiba cel putin o inregistrare permit, pentru ca ele interzic implicit tot traficul.

Configurarea ACL-urilor standardRouter(config)#access-list access-list-number deny / permit / remark source [source-wildcard] [log] access-list-number = numar intre 1 - 99 sau 1300 - 1999deny / permitremark = comentariusource = adresa de retea / host in zecimal sau any pentru orice sursasource-wildcard = numar pe 32 biti, in dotted decimal sau anylog = optional, are ca efect trimiterea unui mesaj catre consola. Mesajul include numarul ACL, daca pachetul a fost permis sau interzis, adresa sursa, numarul de pachete. Mesajul este generat pentru primul pachet care se potriveste, apoi la intervale de 5 minute, cu numarul de pachete permise / interzise in intervalul de 5 minute.

Exemplu:R1(config)# access-list 10 permit 192.168.10.0

Remove ACLR1# show access-listR1(config)#no access-list 10

RemarkPermite comentarii de maxim 100 de caractere.

Wildcard mask [WM]WM difera de subnet mask, dar ofera o functionalitate similara. Ea determina cat de mult din adresa IP trebuie sa se potriveasca cu intrarea din ACL ca sa se considere match. Bitii din WM:- 0 do care = bitul din adresa trebuie sa se potriveasca- 1 don’t care = nu conteaza

WM se calculeaza ca 255.255.255.255 - (minus) subnet mask.any = substituie masca 255.255.255.255host = substituie masca 0.0.0.0

=> poti scrie R1(config)#access-list 1 permit 192.168.1.2 0.0.0.0 ca R1(config)#access-list 1 permit host 192.168.1.2

86

si R1(config)#acces-list 1 permit 0.0.0.0 255.255.255.255caR1(config)#access-list 1 permit any

5.2.4.1

ACL-ul se ataseaza unei interfete prin comanda:Router(config-if)#ip access-group {access-list-number | access-list-name} {in | out}se dezaloca cu:Router(config-if)#no ip acces-groupSe sterge cu:Router(config)#no access-list >>> fara numar / nume ???

*Daca nu atasezi ACL-ul pe interfata, nu va face nimic.

Folosirea ACL ca sa controlezi accesul la VTY (liniile virtuale)E bine sa securizezi accesul la router prin folosirea protocolului SSH. Daca nu ai cum, macar creaza o lista de acces, ca sa specifici ce IP-uri au voie sa se conecteze la router.Comanda este R1(config)#access-list 21 permit host 10.0.0.2R1(config)#line vty 0 4R1(config-line)#access-class 21 in >>> acelasi numar cu al ACL-ului

Poti folosi tehnica asta si cu SSH. Comanda access-class din line config restrictioneaza conexiunile in si out dintre VTY-urile device-ului cisco si o adresa din lista de acces.

R1(config-line)#access-class access-list-number {in [vrf-also] | out}

Atentie:- doar listele de acces numerice se pot aplica liniilor VTY- restrictii identice trebuie setate pe toate liniile VTY, pentru ca un user se poate conecta pe oricare dintre acestea.

Editarea ACL-urilor numerice: nu se poate, trebuie sters si refacut. De aceea este indicat sa folosesti un editor de text si sa apoi sa faci copy-paste in router. Pentru un ACL existent, il afisezi cu show running-config | include ACL list si il copiezi in editorul de texte, dupa care il copiezi modificat in router.

Comentarea cu remark poate fi facuta inainte sau dupa intrarea la care face referire, trebuie sa fii consistent, ca sa stii cum interpretezi lista de acces.

ACL standard named [cu nume]E mai usor sa identifici un ACL dupa nume, in loc de numar. Numele unui ACL trebuie sa nu inceapa cu o litera.

86

R1(config)#ip access-list [standard | extended] nameR1(config-std-nacl)#[permit/deny/remark] {source / source WM] } [log]R1(config-if)#ip access-group name [in | out]

Dupa ce termini de configurat un ACL da comanda show access-list [acl-number | name]. In felul acesta verifici daca ACL-ul este configurat cum ai intentionat. Pasul urmator este sa testezi daca ACL-ul face ce a fost planificat sa faca.

Editarea ACL-urilor named: de la IOS 12.3 ACE-urile din ACL-urile named pot fi sterse individual + poti folosi numarul de secventa pentru a insera ACE-uri unde ai nevoie :D .Numarul de secventa este din 10 in 10, cand inserezi un ACE dai un numar de secventa cu valoarea care te intereseaza.

10 permit ceva20 permit altcevaR1(config)#ip acces-list standard NUMER!(config-std-nacl)#15 permit host 192.168.1.3 >> insereaza acest ACE intre cele 2 ACE-uri care au fost configurate initial.

5.3.1.1ACL-urile extinsePot fi numerice sau named; cele extinse numerice au valori intre 100-199 si 2000-2699. Sunt mai des folosite decat cele standard, pentru ca filtreaza dupa IP sursa, dar in plus filtreaza si dupa: IP destinatie, protocol, port (mai sunt criterii, dar in CCNP?). Exemplu: poti permite trafic de email catre o sursa, dar nu si trafic web sau file transfer.

R1(config)#access-list 101 permit tcp any eq telnet (sau 23) >>> poti spune pe ce porturi (aici destinatie) filtrezi traficul. *poti folosi numele protocolului (aici telnet) sau numarul portului (aici 23)!

Configurare-numericeR1(config)#access-list <nr> {permit/deny/remark} protocol source [WM] [operator] [port sau nume] destinatie [WM] [operator] [port sau nume] [established]Established se refera numai la TCP, indica o conexiune stabilita. ( 3 way handshake)-namedR1(config)#access-list extended NUMER1(config-ext-nacl)#permit tcp 192.168.10.0 0.0.0.255 any eq 80R1(config-ext-nacl)#permit tcp 192.168.10.0 0.0.0.255 any eq 443

5.3.4.2

Tipuri de ACL-uri1. standard2. extended

86

3. dinamice (lock-and-key): userii care vor sa treaca prin router sunt blocati pana cand se conecteaza la router si se autentifica prin telnet4. reflexive: permit traficul catre exterior, dar limiteaza traficul catre interior (doar sesiunile deschise dinspre router)5. time-based: ACL-uri care se activeaza in functie de ora sau zi a saptamanii

3. Lock-and-key este o functie de securitate care filtreaza traficul si care foloseste ACL-uri dinamice (uneori referite ca lock-and-key ACL). Lock-and-key este valabil numai pentru IP. ACL-urile dinamice sunt dependente de conectivitatea Telnet, autentificare (locala sau remote) si ACL-uri extinse.

Configurarea ACL-urilor dinamice incepe cu configurarea ACL-urilor extinse care sa blocheze traficul prin router. Userii care vor sa treaca prin router trebuie sa se autentifice folosind Telnet. Dupa autentificare conexiunea Telnet este dropped si o singura linie este adaugata ACL-ului extins.

ACL-uri dinamice se folosesc daca:- vrei ca un anumit user / grup de useri sa acceseze un host din reteaua ta, prin conectare remote via internet. Lock-and-key autentifica userii si le permite accesul pentru un timp limitat prin firewall-ul tau.- vrei ca mai multe host-uri din reteaua locala sa acceseze un host remote, protejat prin firewall

Beneficii:- foloseste un mecanism challenge ca sa autentifice userii- simplifica managementul in interretelele mari- in multe cazuri reduce procesarea pe router (care este necesara pentru ACL-uri)- reduce oportunitatile de a patrunde hackerii in reteaua ta- crearea unui acces dinamic (liste de?) al userilor printr-un firewall, fara sa compromita alte restrictii de securitate.

R1(config)#username student password 0 ciscoR1(config)#access-list 101 permit any host 10.2.2.2 eq telnetR1(config)#access-list 101 dynamic testlist timeout 15 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255R1(config)#interface s0/0/0R1(config-if)#ip access-group 101 inR1(config)#line vty 0 4R1(config-line)#login localR1(config-line)#autocommand access-enable host timeout 15

4. ACL-uri reflexiveForteaza ca traficul reply de la o destinatie a unui pachet outbound recent sa ajunga numai la sursa pachetului <=> din exterior pachetele ajung numai daca au fost cerute si numai la cine le-a cerut. Routerul examineaza pachetele si, cand este initiata o noua sesiune, adauga o intrare temporara intr-o ACL reflexiva. Intrarea este stearsa cand se termina sesiunea.

86

ACL reflexive sunt o forma mai puternica de filtrare fata de ACL extinse cu established, pentru ca se aplica si traficului UDP si ICMP, si pentru ca functioneaza si pentru aplicatiile care isi modifica dinamic portul sursa pentru traficul unei sesiuni.

ACL-urile reflexive sunt nested intr-o IP ACL named extinsa; nu pot fi definite in ACL-urile standard named sau numbered sau cu alt protocol ACL; ACL-urile reflexive pot fi folosite impreuna cu alte ACL-uri extinse statice si ACL-uri standard.

Beneficii:- ajuta la securizarea retelei impotriva hackerilor si pot fi incluse intr-un firewall- furnizeaza oarecare securitate impotriva spoofing si DoS. E mult mai greu sa incerci sa tragi cu ochiul in ele pentru ca mai multe criterii trebuie sa se potriveasca inainte ca un pachet sa aiba voie sa treaca.- sunt usor de folosit si, comparat cu ACL-urile de baza, ofera un control mai mare / bun asupra caror pachete au voie sa intre in retea.

R1(config)# ip access-list extended OUTBOUNDR1(config-ext-nacl)#permit tcp 192.168.0.0 0.0.255.255 any reflect TCPTRAFFICR1(config-ext-nacl)#permit icmp 192.168.0.0 0.0.255.255 any reflect ICMPTRAFFICR1(config)#ip access-list extended INBOUDR1(config-ext-nacl)#evaluate TCPTRAFFICR1(config-ext-nacl)#evaluate ICMPTRAFFICR1(config)#interface s0/1/0R1(config-if)#ip access-group INBOUND inR1(config-if)#ip access-group OUTBOUND out

5. time-based ACLSunt similare cu ACL-urile extinse. Permit accesul in anumite intervale de timp sau in anumite zile ale saptamanii. Ca sa implementezi ACL-uri time-based trebuie sa definesti un interval de timp, pe care il identifici cu un nume si te referi la el printr-o functie. Restrictiile de timp sunt impuse functiei insasi.

Beneficii:- ofera adminilor de retea mai mult control asupra permit / deny acces la resurse- permite adminilor de retea sa controleze mesajele de log.

R1(config)#time-range EVERYOTHERDAYR1(config-time-range)#periodic Monaday Wednesday Friday 8:00 to 17:00R1(config)#access-list 101 permit tcp 192.168.10.0 0.0.0.255 any eq telnet time-range EVERYOTHERDAYR1(config-if)#ip access-group 101 out

Troubleshooting- Comanda show access-list iti poate arata cele mai multe erori ale ACL-urilor. - cand evaluezi un ACL, verifica regulile dupa care trebuie creat (ordinea in caare trebuie introduse ACE-urile, etc)

86

tipuri de erori: - ordinea ACE este gresita - protocolul este gresit (tcp / udp)- portul este gresit (e pusa restrictia pe portul sursa, nu pe cel destinatie)- uiti sa treci o ACE de deny / permit- pui ACL-ul pe alta directie (out in loc de in)

*************************cap 6 - servicii pentru teleworkeri

Beneficiile muncii la distanta:1. pentru companie:- continuitate in operatii- responsabilizare mai mare- accesul la informatie securizat, reliable si gestionabil- eficientizarea costului pentru integrarea de date, voce, video si aplicatii- cresterea productivitatii, satisfactiei si retentiei angajatilor2. sociale- cresterea oportunitatilor de angajare pentru grupurile marginalizate- mai putin stres cauzat de deplasare3. de mediu:- reducerea emisiilor de carbon, atat ale indivizilor, cat si ale organizatiilor

Solutia teleworkerilor:Companiile au nevoie de retele sigure, reliable si eficiente dpv cost pentru a se conecta la HQuri, branch-uri si furnizori. Cand incep sa foloseasca teleworkeri le cresc nevoile de securitate, reliability si de eficienta a costurilor.

Sunt 3 tehnologii de acces remote care suporta teleworkerii:- tehnologiile traditionale de WAN, de layer 2: Frame Relay, ATM, leased lines - securitatea depinde de service provider- IPsec VPN - ofera o modalitate de conexiune scalabila si flexibila- conexiunile site-to-site ofera teleworkerilor o conexiune sigura, rapida si reliable. E cea mai intalnita optiune pentru teleworkeri, impreuna cu accesul remote peste broadband pentru a stabili o conexiune VPN sigura peste internetul public.

Termenul broadband defineste un sistem de comunicare avansat, capabil sa furnizeze servicii de transmisie de viteza mare. Tehnologiile folosite sunt DSL, fibra optica, cablu coaxial, wireless si satelit. Viteza de transmitere a datelor este de peste 200 kbps, cel putin intr-o directie (downstream sau upstream).

Ca sa se conecteze la reteaua unei organizatii teleworkerii au nevoie de 2 seturi de componente cheie:

86

- componente home office: laptop / PC, acces broadband (cablu sau DSL), router VPN sau client VPN instalat pe PC. Aditional pot avea wireless Access Point, iar cand calatoresc, teleworkerii au nevoie de conexiune la internet si client VPN. - componente corporate: routere capabile VPN, concentratoare VPN, echipamente de securitate multifunctionale, autentificare, device-uri pentru managementul centralizat al conexiunilor de agregare si terminare VPN.

Cand ofer suport pentru VoIP si videoconferinte trebuie sa imi upgradez aceste componente (routerele trebuie sa aiba functionalitate de QoS).VPN = retea privata de date care foloseste infrastructura publica de telecomunicatii.

Conectarea teleworkerilor la WANAplicatiile folosite de teleworkeri de obicei necesita o conexiune high-bandwidth. Principalele metode de conectare pentru SOHO sunt:- dial-up - cea mai slaba, e ieftina, foloseste liniile de telefon si un modem. Ca sa te conectezi la ISP, suni la numarul de acces (de telefon). De regula e folosit cand nu ai optiuni mai bune.- DSL - e mai scump si mai rapid ca dial-up. Foloseste liniile de telefon si un modem special, de viteza mare, care separa semnalul DSL de semnalul de telefon, furnizeaza conexiune Ethernet pt un host / LAN, conexiunea este permanenta (la dial-up nu e).- cable modem - e oferit de CATV. Conexiunea este oferita prin cablul TV, iar un modem special separa cele 2 tipuri de semnale si furnizeaza conexiune Ethernet pt un host / LAN.- satelit - oferit de satellite service providers; computerul se conecteaza prin Ethernet la un modem de satelit care transmite semnale radio la cel mai apropiat POP (point of presence) din reteaua satelit.

Componentele unui cable system:- antena site-ului- sistemul de transport- trunk cable- amplificatoare- cablu de distributie (feeder)

Cablul:Spectrul electromagnetic acopera / include o arie larga de frecvente.Frecventa este viteza cu care au loc ciclurile curentului (sau voltajului), calclate ca numarul de unde pe secunda. Lungimea de unda este viteza de propagare a semnalului electromagnetic impartita la frecventa in ciclii pe secunda.

Undele radio [RF] constituie o parte a spectrului electromagnetic, intre aproximativ 1 kHz si 1 tera herz. Industria televiunii prin cablu foloseste o portiune a spectrului electromagnetic al undelor radio. Prin cablu diferite frecvente transporta canalele TV (semnalele ??) si datele, iar la capatul dinspre abonat sunt echipamente ca TVs, VCRs, etc, setate pe anumite frecvente ca sa permita userilor sa vada anumite canale sau modemuri care permit userilor sa aiba acces la internet de / cu viteza mare.

86

Frecventele:-downstream (de la headend catre abonati) sunt intre 50 - 860 MHz-upstream (invers) sunt intre 5 - 42 MHz

DOCSIS este un standard international care certifica echipamentele prin cablu (cable modems si cable modem termination systems).

DOCSIS specifica cerintele pentru L1 (bandwidth si tehnica de modulare) si L2 (doar MAC: metoda de acces).*pentru MAC trebuie intelese tehnicile de separare a canalelor: -TDMA le divide prin momentul de timp la care se transmite semnalul-prin frecventa divide canalele - sunt transmise informatii diferite pe frecvente diferite -CDMA (code division multiple access) foloseste tehnologia spread-spectrum impreuna cu o schema de codare ca sa identifice fiecare transmitator.

Cable modem termination system [CMTS] se afla in headend.Cable modem (simplu) se afla la abonat.

CMTS este de obicei un router cu o baza de date cu abonati (ca sa ofere servicii de internet numai celor care platesc :D ).Userii de pe un segment share-uiesc bandwidth-ul pentru upstream si downstream. DSL = modalitate de a furniza conexiuni de viteza mare peste cablu de cupru.Bell Labs a identificat ca conversatiile de voce peste local loop folosesc frecventa de la 300 Hz la 3 kHz. Progresul tehnologic a permis DSL-ului sa foloseasca si frecventa de la 3 kHz la 1 MHz pentru serviciile de date peste liniile de cupru. Asymmetric DSL [ADSL] foloseste frecventa de la 20 kHz la 1 MHz pentru a transmite semnal de date abonatilor. Frecventa pana la 3 kHz este rezervata pentru POTS [plain old telephone service]. ADSL ofera viteza mai mare pentru downstream fata de upstream.SDSL [symmetric…] ofera viteze identice pentru up- si downstream. Ratele de transfer depend de dimensiunea local loop si de tipul si conditiile de cablare. Pentru servicii satisfacatoare bucla nu trebuie sa depaseasca 5,5 km (3,5 mile). DSL conecteaza abonatii la central office. Bucla locala este intre customer premise equipment si central office, iar in CO se afla DSL access multiplexor [DSLAM]. DSLAM-ul concentreaza conexiunile de la mai multi abonati DSL. Ca sa conectezi prin DSL un SOHO ai nevoie de:

- un transmitator - de obicei un modem, aflat la abonat. Mai nou modemul poate fi integrat intr-un router care sa aiba mai multe porturi Ethernet.

86

- un DSLAM in CO, care concentreaza conexiunile DSL de la abonati pe / intr-un link de viteza mare, al unui ISP, si mai departe la Internet.

*Fata de cablu, DSL-ul nu este mediu share-uit! Se simte incarcarea daca sunt multi useri si datele lor incarca prea mult conexiunea de la DSLAM cu ISP-ul. Avantajul ADSL este ca permite transportul simultan al semnalului de telefon cu cel de date, cele 2 fiind separate prin splittere sau filtere (de fapt microfilters). Un microfiltru este un filtru pasiv low-pass cu 2 capete, unul se conecteaza la telefon si celalalt la prize de telefon. => nu mai este nevoie sa vina un tehnician + te poti conecta la orice prize din locatie ca sa folosesti servicii de voce sau ADSL. Splitterele POTS separa traficul DSL de traficul POTS. Sunt tot device-uri passive. Spliterele sunt in CO si la abonat. Network interface device [NID] = punctul de demarcare; pot pune aici un splitter, care sa separe semnalul de telefon de cel de date. Daca vrei sa instalezi un splitter POTS in NID de obicei trebuie sa chemi un technician. Ca sa evite chemarea unui technician, multe SOHO folosesc microfiltrele, care au ca avantaj si o mai mare conectivitate in locatie. (datorita splitterului de obicei ai un singur outlet [mufa?] in locatie…). Broadband wireless Pana recent tehnologia wireless era mai greu de folosit pentru ca trebuia sa te afli in raza de acoperire a unui router (maxim 100 picioare ? 50 metri). Odata cu aparitia hot spot-urilor lucrurile s-au imbunatatit. Au mai aparut si:-municipal Wi-Fi-WiMAX-Satellite internet Tipuri de retele wireless:

1. single router este pe principiul hub-and-spoke2. mesh: un router si mai multe access point-uri; fiecare AP trebuie sa comunice cu alte 2

AP.3. WiMAX: foloseste microunde; opereaza la viteze mari si peste distante mai mari decat

Wi-Fi. Are 2 componente:a. Un turn care acopera o zona pana la 7,5 km2b. Receptoare WiMAX in PC-uri ca sa poata receptiona semnalul.

Cu WiMAX poti sa acoperi zonele in care nu poti trage / folosi cablu.

86

4. Internet prin satelit: se foloseste acolo unde nu este disponibil internetul terestru sau in situatiile in care este folosit in miscare (pe vase, avioane, etc). Te poti conecta la internet prin satelit in 3 feluri:

a. One-way multicast e folosit pentru IP multicast de date, video sau audio; nu este posibila interactivitatea full

b. One-way terrestrial return foloseste accesul traditional prin dialup pentru a trimite si primi date printr-un modem

c. Two-way satellite: datele sunt trimise unui satelit care la randul lui le trimite unui hub, de unde sunt trimise in internet. (un satelit poate deservi pana la 5.000 de canale de comunicatie simultan).

Standarde wireless:-802.11b >>> 11 Mbps >>> 2.4 GHz-802.11g >>> 54 Mbps >>> 2.4 GHz-802.11n >>> peste 54 Mbps, MIMO >>> 2.4 GHz*802.16 (WiMAX) >>> pana la 70 Mbps, la 50 km >>> in frecvente de la 2 la 6 GHz VPN si beneficiile VPN-urilor Tehnologia VPN permite organizatiilor sa creeze retele private peste infrastructura internetului public si sa isi pastreze confidentialitatea si securitatea. Prin VPN-uri organizatiile isi creaza o infrastructura virtuala de WAN, care conecteaza branch-uri, birouri de acasa, locatii ale partenerilor si telecomuterii remote, la toata sau o parte a retelei corporate. Ca sa se pastreze confidentialitatea, traficul este criptat. VPN-urile creeaza tunele prin care traficul este trimis criptat. Beneficii:-reducerea costurilor pentru ca se elimina liniile WAN dedicate si bancurile de modemuri.-securitate, prin folosirea protocoalelor avansate de criptare si autentificare-scalabilitate, organizatiile pot adauga noi utilizatori / folosesc volume mari din capacitate fara sa adauge semnificativ infrastructura.*cu VPN creste productivitatea si eficienta Tipuri de VPN6.3.2.1 Site-to-site VPN sunt folosite ca sa conecteze locatii disparate / imprastiate, in acelasi fel ca Frame Relay sau leased line. De asemenea site-to-site VPNs suporta intranetul companiilor si extraneturile partenerilor de afaceri.Site-to-site VPNs sunt extensii ale retelei WAN clasice, conecteaza intregi retele una la alta.In site-to-site VPNs hosturile trimit si primesc trafic TCP/IP printr-un VPN gateway, care poate fi un router, firewall IPX sau ASA (adaptive security appliance). Perechile de VPN gateway in- si decapsuleaza si cripteaza si de- traficul.

86

Remote access VPN este folosit de mobile users si telecommuters + extranet consumer-to business. Intr-un remote access VPN fiecare host are un software de client VPN; cand hosturile trimit trafic, software-ul de client VPN incapsuleaza si cripteaza traficul Componentele VPN Un VPN foloseste protocoale de tunelare criptografice ca sa ofere: protectie impotriva packet sniffing, autentificarea emitatorului / sender si integritatea mesajului. Componente ca sa poti face un VPN:-o retea existenta-o conexiune la internet-gateway VPNs-software pentru crearea si gestionarea VPN-urilor Cheia eficacitatii VPN-urilor este securitatea. VPNs securizeaza datele prin criptare sau incapsulare, iar cele mai multe prin ambele:-incapsularea se mai numeste si tunneling, pentru ca incapsularea transmite datele transparent de la retea la retea printr-o infrastructura de retea share-uita.-criptarea codeaza datele intr-un format diferit, folosind o cheie secreta. Caracteristicile VPNs securizateVPN-urile folosesc tunelarea si tehnici avansate de securizare ca sa permita organizatiilor sa stabileasca conexiuni securizate, end-to-end, (de retele private) peste internet.Fundatia securitatii VPN este data de: confidentialitatea datelor, integritatea datelor si autentificare. Confidentialitatea datelor = protejeaza datele de eavesdropping / trasul cu ochiul. Se face printr-un mecanism de criptare si incapsulare.Integritatea datelor = datele nu sunt modificate sau falsificate. VPN-urile folosesc de obicei hash-uri.Autentificare = mesajul provine de la o sursa autorizata.6.3.5.1

VPN tunnelingIncorporarea capabilitatilor de confidentialitate a datelor intr-un VPN asigura ca doar sursa si destinatia intentionate / legitime sunt capabile sa interpreteze corect continutul mesajului original.

Protocolul de tunneling (tunelare) este format din:-protocolul de carrier: protocolul peste care informatia este transportata (Frame Relay, ATM, MPLS)-protocolul de incapsulare: protocolul care inveleste / wrap datele originale: GRE, IPSec, L2F, PPTP, L2TP.-protocolul passenger (de transport): IPv4, IPX, AppleTalk, IPv6

86

GRE = generic route encapsulation; este un protocol de tunelare dezvoltat de Cisco, care poate sa incapsuleze o gama larga de pachete inauntrul unui tunel IP, creand o legatura virtuala P-to-P intre 2 echipamente de retea.

Integritatea datelor in VPN:Se realizeaza prin criptare si include un algoritm si o cheie. Cu cat cheia este mai lunga, cu atat creste gradul de securitate. Cei mai cunoscuti algoritmi de criptare:-DES (data encryption standard), foloseste o cheie de criptare pe 56 de biti. E sistem de criptare simetric.-3DES, foloseste 3 chei diferite pentru criptare. -AES (advanced encryption standard): e gandit sa inlocuiasca DES, e mai puternic decat DES si mai eficient la calcule ca 3DES. Poate folosi chei de 3 lungimi: 128, 192 si 256 biti.-RSA (rivest, shamir si adleman): e asimetric, foloseste chei de 512 si 1024 biti.

Criptarea simetrica:-aceeasi cheie e fol la criptare si decriptare-cheia e secreta-de obicei se cripteaza continutul mesajuluiEx: DES, 3DES, AES

Criptarea asimetrica:-o cheie publica-se folosesc chei diferite pentru criptare si decriptare-de obicei sunt folosite pentru certificate digitale si managementul cheilor ?Ex: RSAHash = message digest = un numar generat dintr-un string de text. Formula de generare a hash-ului face extrem de improbabil ca un alt text sa genereze aceeasi valoare pentru hash.

Hash-ul este trimis impreuna cu mesajul. La destinatie este recalculat hash-ul si se compara valorile hash-ului primit cu cel calculat. Daca nu sunt indentice => mesajul a fost corupt / alterat.

VPN-urile folosesc un cod de autentificare a mesajului pentru a verifica integritatea si autenticitatea mesajului, fara sa foloseasca mecanisme aditionale. Un HMAC (hash message authentication code) este un algoritm de integritate a datelor care garanteaza integritatea mesajelor. HMAC depinde de: puterea de criptare a functiei hash, dimensiunea si calitatea cheii si de dimensiunea in biti a hash-ului rezultat.

Sunt 2 algoritmi HMAC cunoscuti:-MD5: foloseste o cheie secreta pe 128 biti, pe care o combina cu continutul mesajului si rezulta un hash de 128 biti, pe care il adauga la sfarsitul mesajului.-Secure Hash Algorithm 1 [SHA-1]: foloseste o cheie secreta pe 160 de biti, pe care o combina cu continutul mesajului si rezulta un hash de 160 biti, pe care il adauga la sfarsitul mesajului.

Autentificarea in VPN

86

Sunt 2 metode de autentificare a perechilor (peer):-PSK [pre-shared key] e un algoritm de criptare care foloseste chei simetrice, introduse manual la fiecare capat al tunelului. Cheile sunt combinate cu alte informatii ca sa creeze cheia de autentificare.-semnaturile RSA: folosesc schimbul de semnaturi digitale ca sa autentifice perechile. Device-ul local deriva un hash si il cripteaza cu o cheie privata. Hashul criptat (semnatura digitala) este atasat mesajului si trimis catre celalalt capat, unde hashul este decriptat folosind cheia publica a capatului local. Daca hashul decriptat este identic cu hashul recalculat, semnatura este autentificata.

Protocoalele de securitate IPSecIPSec este o suita de protocoale de securizare a comunicatiilor IP care ofera criptare, integritate si incapsulare. IPSec clarifica mesajele necesare sa securizeze comunicatiile VPN, dar se bazeaza pe algoritmii existenti.

Sunt 2 protocoale principale in IPSec:-Authentication header [AH]: este folosit cand confidentialitatea nu este ceruta sau permisa. AH furnizeaza autentificarea datelor si integritatea pachetelor trimise intre 2 sisteme, dar nu face si criptare. De unul singur, AH ofera o protectie slaba. Poate spune cine este originatorul mesajului si daca mesajul a fost modificat in timpul transmiterii. *este folosit impreuna cu ESP.-Encapsulating security payload [ESP]: furnizeaza confidentialitate si autenticitate prin criptarea pachetului IP ( a datelor si a sursei si destinatiei pachetului). Criptarea ascunde datele si sursa si destinatia. ESP autentifica pachetul IP din interior si headerul ESP. Autentificarea ofera autentificarea originii datelor si integritatea datelor. Cu toate ca autentificarea si criptarea sunt optionale, cel putin una din ele trebuie sa fie selectata / folosita.

IPSec frameworkAlgoritmi folositi:-DES-3DES-MD5-SHA-1-DH permite ca 2 parti sa share-uiasca o cheie secreta pe care o folosesc algoritmii de criptare si hash (DES, MD5, …) peste un canal de comunicare nesecurizat.

Framework:-IPSec protocol: ESP, AH, ESP + AH-criptare: DES, 3DES, AES-autentificare: MD5, SHA-DH: DH1, DH2, DH5

DH = Diffie-Hellman

************************************cap 7 – servicii de adresare IP

86

-DHCP-NAT-RIPng

DHCP aloca adrese (de obicei private), iar NAT permite hosturilor cu adrese private sa poata sa iasa in internet.

Prin folosirea NAT si a adreselor private s-a amanat momentul in care vom ramane fara adrese IPv4 disponibile.

DHCPVine de la Dynamic Host Configuration Protocol aloca dinamic adrese IP si alte configuratii de retea importante.

Echipamentele care trebuie sa aiba aceeasi adresa sunt configurate manual (routere, servere…), workstations sunt configurate dinamic. In general adminii prefera sa aiba un server de DHCP dedicat, dar si routerele Cisco pot sa ofere servicii DHCP prin setul de feature-uri Easy IP.

Operarea DHCP-uluiDHCP are 3 mecanisme diferite de alocare a adreselor pentru flexibilitate cand aloci adrese IP:-alocare manuala: adminul pre-aloca clientului o adresa IP, iar DHCP-ul doar i-o comunica-alocare automata: DHCP aloca automat o adresa IP statica si permanenta unui device, selectata dintr-un pool de adrese disponibile. Nu se face lease, iar adresa este alocata permanent device-ului.-alocare dinamica: DHCP aloca dinamic (sau inchiriaza) o adresa IP dintr-un pool de adrese disponibile, pentru o perioada limitata de timp, decisa de server sau pana cand clientul ii spune serverului ca nu ii mai trebuie adresa.

Va fi tratat modul de alocare dinamica a adresei IP.

DHCP-ul functioneaza intr-o relatie client-server. Cand PC-ul se conecteaza la serverul DHCP, acesta ii aloca o adresa IP. PC-ul se conecteaza la retea cu IP-ul inchiriat pana cand timpul de inchiriere expira. Periodic hostul trebuie sa ceara prelungirea perioadei de inchiriere. Mecanismul de inchiriere asigura ca la mutarea hostului sau la pierderi de curent hostul nu pastreaza o adresa de care nu are nevoie. Serverul DHCP ia adresele eliberate si le pune inapoi in pool-ul de adrese disponibile.

Mesajele folosite:-discover: este broadcast, DHCPDISCOVER, comunica cu serverul pe adresele de broadcast de L2 si L3. Client ----> server-offer: de obicei este unicast, trimite o adresa IP hostului. Serverul creaza o intrare ARP cu MAC-ul hostului si adresa IP pe care i-o trimite. Server ---->client; uneori poate fi broadcast-request: are 2 scopuri: originatorul lease-ului si innoirea si verificarea lease-ului. Originator = hostul cere confirmarea pentru IP-ul propus de server; mai serveste si ca o notificare a

86

acceptarii IP-ului trimisa serverului care ii propune adresa si o refuzare a celorlalte IP-uri propuse de celelalte servere. E broadcast. Client ----->server-acknowledge: cand primeste mesajul request, serverul verifica informatiile de lease, creaza o intrare in tabela ARP, si raspunde cu un mesaj DHCPACK. Cand primeste mesajul ACK, clientul inregistreaza (log) informatia si face o cerere ARP pe IP-ul respectiv (daca ii raspunde cineva inseamna ca acea adresa nu e valida, se repeta in retea…). Daca nu-i raspunde nimeni la cererea ARP va considera adresa ca valida si o va folosi.

Timpul pentru care se inchiriaza o adresa este setat de administrator; cei mai multi ISP-isti si marile retele folosesc setarile default de pana la 3 zile. La expirarea lease-ului clientii cer o alta adresa, cu toate ca de cele mai multe ori o primesc pe aceeasi.

Daca mai multe servere raspund unui mesaj discover, clientul nu poate alege decat 1 adresa IP.

BOOTP vs DHCP

BOOTP este predecesorul DHCP-ului, cu care are cateva caracteristici comune. BOOTP este un mod de a downloada adresa si configuratiile de bootare pentru statiile fara disc (hdd si fara sistem de operare). Si DHCP si BOOTP folosesc sistemul client-server si transmisia UDP prin porturile 67 si 68.

Diferente intre BOOTP si DHCP:-BOOTP a fost proiectat pentru preconfigurarea manuala a informatiilor pentru hosturi (MAC-urile hosturilor trebuie sa fie trecute intr-o baza de date si sa le corespunda adrese – deci nu sunt dinamice ), in timp ce DHCP aloca dinamic adrese.-DHCP poate recupera o adresa si sa o inchirieze altui host. -BOOTP ofera informatii limitate unui host (4 informatii – ip, gw, masca si DNS?), DHCP este mai generos (peste 20 de informatii), ii poate da si alti parametrii de configurare (servere WINS – windows name server), etc.

Formatul mesajului DHCPEste compatibil cu cel al BOOTP, dar aduce in plus campul options.

Configurarea serverului DHCPRouterele cisco pot functiona si ca servere DHCP .

Pasii pentru configurare sunt:1. definesti range-ul de adrese care nu vor fi alocate (excluse)2. creezi pool-ul de adrese alocabile3. configurezi elementele specifice ale pool-ului

O buna practica este sa configurezi intai adresele excluse, ca acestea sa nu fie alocate de DHCP inainte sa le poti defini ca excluse. Comanda este:R1(config)#ip dhcp excluded-addresses adresa_minima adresa_maxima

86

R1(config)#ip dhcp excluded-addresses 192.168.1.1 192.168.1.9

Configurarea pool-ului:R1(config)#ip dhcp pool numeR1(dhcp-config)#

R1(config)#ip dhcp pool LAN1

DHCP tasksTrebuie definite reteaua si masca + gateway sau default router (maxim 8 adrese).Optional mai poti defini serverul DNS, numele domeniului, perioada de inchiriere / lease, servere WINSR1(config)#ip dhcp excluded-addresses adresa_minima adresa_maximaR1(config)#ip dhcp excluded-addresses 192.168.1.1 192.168.1.9R1(config)#ip dhcp pool LAN1R1(dhcp-config)#network 192.168.1.1 255.255.255.0R1(dhcp-config)#default-router 192.168.1.1R1(dhcp-config)#domain-name alexandru.comR1(dhcp-config)#end

Dezactivarea serverului DHCP se face cu comanda:R1(config)#no service dhcp

Serverul DHCP este activat by default, dar daca parametrii nu sunt configurati, nu se produce nici un efect.

Verificarea DHCP-uluiR1# show ip dhcp binding >>> arata o lista a legaturilor adreselor IP cu MAC care au fost oferite prin DHCP.R1#show ip dhcp server statistics >>> contorizeaza numarul de mesaje de DHCP care au fost trimise si primite.R1#show ip dhcp pool

Ca sa configurezi o interfata a unui router ca client DHCP se da comanda:R1(config-if)#ip address dhcp

DHCP relay (releu / transmitator)Intr-o companie mare serverele sunt localizate intr-un server farm, nu in aceeasi retea / subretea cu clientii. De aici rezulta o problema: mesajul DHCP discover este broadcast, iar routerele nu il forwardeaza in mod normal, deci host-ul nu poate obtine adresa IP. Ca sa poata obtine adresa IP, routerul trebuie sa fie configurat sa forwardeze mesajul broadcast.R1(config)#int fa0/0R1(config-if)#ip helper-address 192.168.0.5 >>> 192.168.0.5 este adresa serverului DHCP; routerul poate primi mesaje de la oricare subneturi si le trimite serverului DHCP.

Implicit comanda ip helper-address forwardeaza 8 servicii UDP:

86

1. portul 37 – time2. portul 49 – TACACS3. portul 53 – DNS4. portul 67 – DHCP/BOOTP client5. portul 68 – DHCP/BOOTP server6. portul 69 – TFTP7. portul 137 – NetBIOS name service8. portul 138 – NetBIOS datagram service

Ca sa specifici servicii aditionale foloseste comanda ip forward-protocol7.1.7.1

Serverele WINS sunt de obicei in retele care suporta versiuni de windows mai vechi de windows 2000.

Troubleshooting1. rezolva conflictele de adrese IP (R1#show ip dhcp conflict)2. verifica conectivitatea fizica3. testeaza conectivitatea fizica prin configurarea unei adrese statice pe host4. verifica switch port configuration (STP portfast si celelalte comenzi)5. verifica din ce subnet isi obtine clientul adresa IP de la serverul DHCP (vezi daca ii da o adresa corecta)

Daca serverul este in alta subretea decat clientul, verifica existenta comenzii ip helper-address pe interfata din LAN-ul clientului si ca refera adresa serverului DHCP.Verifica sa nu fie dezactivat serviciul DHCP (no service dhcp).Verifica daca routerul (configurat ca server dhcp) primeste DHCP requests (debug ip packet detail ) pe o lista de acces pentru output-ul debugului; acest debug nu este intruziv pentru router.Verifica daca routerul primeste si forwardeaza requesturi dhcp (prin comanda debug ip dhcp server packet).R1#debug ip dhcp server events >> arata evenimentele de la server, ca alocarea adreselor sau update-ul bazei de date + decodarea receptiei si transmisiei dhcp.

Network Address Translation [NAT] asigura conversia adreselor private in adrese publice. Adresele private nu au voie sa iasa in internet, iar daca se intampla sa iasa, sunt aruncate de routerele ISP-istului. NAT-ul converteste adresele IP non-rutabile in adrese rutabile!Alt beneficiu este ca ascunde adresele dintr-o retea de cei aflati in retele exterioare / din afara.

De obicei NAT-ul este activat pe un device aflat la marginea unei retele stub.

Inside local address= de obicei nu e alocata de ISP / RIR, este o adresa privata.Inside global address = adresa publica valida data de NAT unei adrese inside local.Outside global address = adresa IP a unui host din internet.

86

Outside local address = adresa IP locala a unui host dintr-o retea exterioara.

Routerul isi pastreaza o tabela NAT cu corespondente.

NAT-ul este de 2 tipuri:-dinamic-static

Dinamic = foloseste un pool de adrese publice si le aloca pe criteriul primul venit – primul servit. Cand se termina adresele publice disponibile… surpriza.Static = alocarea se face 1 la 1, hosturile din retea vor avea mereu aceeasi adresa publica. E folosit pentru servere / hosturi care trebuie sa fie accesibile din internet.

O forma a NAT-ului dinamic este NAT overloading (se mai numeste si PAT – port address translation), care mapeaza mai multe adrese private pe mai putine adrese publice, in acelasi timp. Acest lucru este posibil pentru ca acest tip de NAT inregistreaza si numarul portului. Cand un client deschide o sesiune, NAT-ul inregistreaza si portul aferent adresei sursa. Astfel, daca mai multe hosturi din reteaua interna primesc pachete pe aceeasi adresa publica, NAT-ul le diferentiaza dupa portul catre care sunt trimise pachetele (portul sursa initial devine acum port destinatie, cand sunt trimise inapoi pachete de la destinatie). In plus se valideaza si ca pachetele primite au fost cerute (deci un spor de securitate).

Numerele porturilor se scriu pe 16 biti, ceea ce corespunde unui numar teoretic de 65536 de porturi pentru aceeasi adresa IP, dar real sunt doar in jur de 4000 de porturi corespunzatoare unei adrese IP. Comportamentul NAT overload este sa nu schimbe numarul portului daca nu este necesar. Totusi daca 2-n hosturi trimit pachete cu aceleasi porturi, cand se face translatia, NAT modifica numarul portului, dand numarul urmatorului port disponibil, din 3 range-uri: 0-511, 512-1023., 1024-65535. Daca nu mai sunt porturi disponibile, NAT da urmatoarea adresa IP si reia procesul de alocare a porturilor.

Diferentele dintre NAT si NAT overload:-NAT e de obicei 1 la 1, overload-ul 1 la n-NAT se refera la adresa sursa cand primeste pachete din exterior, overload-ul se refera la perechea adresa sursa - port sursa (s.n. connection tracking).

Avantajele NAT-ului:1. conserva adresele publice2. mareste flexibilitatea conexiunilor la retelele publice3. ofera consistenta pentru schema de adresare interna4. creste securitatea retelei

Dezavantajele NAT-ului:1. performanta este degradata2. functionalitatile end-to-end sunt degradate3. se pierde urmarirea (traceability) IP end-to-end

86

4. tunelarea devine mai complicata5. initierea conexiunilor TCP poate fi distrusa6. arhitectura trebuie sa fie refacuta pentru a trata schimbarile

Configurarea NAT-ului staticTrebuie definite adresele care vor fi translatate si configurat NAT pe interfetele corespunzatoare.R1(config)#ip nat inside source static local-ip global-ip R1(config)#interface type number >>> int fa0/0R1(config-if)#ip nat insideR1(config-if)#exitR1(config)#int fa0/1R1(config-if)#ip nat outside

Exemplu:R1(config)#ip nat inside static 192.168.10.254 209.165.200.254R1(config)#int s0/0/0R1(config-if)#ip nat insideR1(config)#int s0/1/0R1(config-if)#ip nat outside

Configurarea NAT-ului dinamicTrebuie identificate interfetele inside si outside + ACL care spune ce adrese au voie sa fie translatate (pool de adrese ).Router(config)#ip nat pool name start-ip end-ip {netmask netmask|prefix-length prefix-length}Router(config)#access-list access-list-number permit source [source-wildcard]Router(config)#ip nat inside source list access-list-number pool nameRouter(config)#interface type numberRouter(config-if)#ip nat insideRouter(config)#interface type numberRouter(config-if)#ip nat outside

Exemplu:Router(config)#ip nat pool NAT-POOL1 209.165.200.226 209.165.200.240 netmask 255.255.255.240Router(config)#access-list 1 permit 192.168.0.0 0.0.255.255Router(config)#ip nat inside source list 1 pool NAT-POOL1Router(config)#int s0/1Router(config-if)#ip nat insideRouter(config)#int s1/1Router(config-if)#ip nat outside

Configurarea NAT overloadEste identica cu cea a NAT-ului, dinamic, cu exceptia folosirii cuvantului interface in loc de pool-ul de adrese. Overload ii spune sa foloseasca NAT overload :D .

86

1. o singura adresa publicaRouter(config)#access-list acl-number permit source [source-wildcard]Router(config)#ip nat inside source list acl-number interface interface overloadRouter(config)#interface type number Router(config-if)#ip nat insideRouter(config-if)#interface type number Router(config-if)#ip nat outside

Exemplu:access-list 1 permit 192.168.0.0 0.0.255.255ip nat inside source list 1 interface serial 0/1/0 overloadint s0/1ip nat insideint s1/1ip nat outside

2. mai multe adrese publiceRouter(config)#access-list acl-number permit source [source-wildcard]Router(config)#ip nat pool name start-ip end-ip {netmask netmask | prefix-length prefix-length}Router {config}#ip nat inside source list acl-number pool name overload.Router(config)#interface type number Router(config-if)#ip nat insideRouter(config-if)#interface type number Router(config-if)#ip nat outside

Exemplu:access-list 1 permit 192.168.0.0 0.0.255.255ip nat pool NAT-POOL2 209.165.200.226 209.165.200.240 netmask 255.255.255.240ip nat inside source list 1 pool NAT-POOL2 overloadint s0/1ip nat insideint s1/1ip nat outside

Port forwarding= deschiderea porturilor / trimiterea pachetelor care vin pe un anumit port catre o adresa IP. S..n. si tunelare. Peer-to-peer functioneaza numai dinspre interior spre exterior. Ca masura de securitate routerele broadband nu permit requesturile retelelor externe sa fie forwardate unui host intern.

Troubleshooting:R1#show ip nat translations {verbose} >>> dar inainte trebuie sa stergi orice intrare de translatie dinamica, pentru ca acestea se elimina (time-out) dupa o perioada de inactivitate; verbose adauga informatii suplimentare.

86

R1#show ip nat translations {statistics} >>> arata informatii despre numarul total de translatii, parametrii de configurare NAT, cate adrese sunt in pool, cate adrese au fost alocate. R1#show run >>> si cauti info despre NAT, acl si pool

Intrarile despre translatiile NAT expira default dupa 24 ore in lipsa comenzii ip nat translation timeout nrSecunde.

R2#clear ip nat translation *R2#show ip nat translations

clear ip nat translation inside global-ip local-ip [outside local-ip global-ip] >>> sterge doar o intrare dinamica de translatie, inside sau inside si outside.

clear ip nat translation protocol inside global-ip global-port local-ip local-port [outside local-ip local-port global-ip global-port] >>> sterge o intrare de translatie dinamica extinsa

Pasi de urmat pentru troubleshooting:1. defineste ce trebuie sa obtii prin NAT si reanalizeaza configuratia2. verifica daca in tabela de translatii sunt translatiile corecte (show ip nat translations)3. verifica daca NAT-ul opereaza asa cum te astepti, folosind comenzile debug si clear; vezi daca intrarile dinamice sunt recreate dupa ce le stergi cu clear.4. evalueaza in detaliu ce se intampla cu pachetul si verifica daca routerele au informatia de rutare corecta.

debug ip nat {details} ofera informatii despre fiecare pachet translatat de catre router + informatii despre erori / exceptii (ex: nu poate aloca o adresa publica).

In debug, urmatoarele semne au semnificatia:* arata ca translatia are loc in fast-switched. Primul pachet este process-switched (mai lent), restul sunt fast-switched, cu conditia sa existe o intrare in cache.s = sursaa.b.c.d-->w.x.y.z arata ca adresa a.b.c.d a fost translatata in w.x.y.zd = destinatia[xxxx] arata numarul de identificare al IP-ului.

IPv6

De ce este necesar IPv6?1. creste populatia internetului si userii stau mai mult on line2. mobile users: PDA, tablet PC, notepad, barcode reader, telefoane mobile, etc3. transportation (mijloace de transport) in care se folosesc conexiuni la internet4. consumer electronics (DVR – digital video recording, etc)

IPv6 satisface complexitatea din ce in ce mai mare a adresarii ierarhice pe care IPv4 nu o mai poate acoperi.

86

O adresa IPv6 este un numar pe 128 biti => numarul total de adrese este 2128. (3.4 x 1039) Numele / denumirea IPv5 a fost folosit(a) ca sa defineasca un protocol de streaming real time experimental; ca sa nu se creeze confuzii, s-a decis ca respectivul nume sa nu fie folosit.

In esenta IPv6 a aparut ca urmare a epuizarii adreselor IPv4. In plus in IPv6 au fost incluse noi feature-uri si imbunatatiri (lessons learned).

IPv6 are un header mai simplificat, functionalitati de securitate built-in, optiune de autoconfigurare.

=> imbunatatirile aduse de IPv6 sunt:1. imbunatatirea adresarii IP2. header simplificat3. mobilitate si securitate4. usurarea tranzitiei

1. imbunatatirea adresarii IP presupune:- imbunatatirea accesibilitatii si flexibilitatii globale- agregarea mai buna a prefixelor IP din tabela de rutare- multihome (mai multe adrese pe aceeasi interfata fizica a unui host)- autoconfigurarea (care include adresa de layer data link in spatiul de adresa)- mai multe optiuni de plug-and-play pentru mai multe device-uri- end-to-end fara NAT- mecanism simplificat pentru renumerotarea si modificarea adreselor

2. simplificarea headerului:Dispar mai multe campuri pe care IPv4 le avea, 4 campuri sunt redenumite, sunt pastrate doar 3 campuri nemodificate (headerul IPv6 are doar 8 campuri si 40 de octeti). Aceasta simplitate duce la:- eficienta imbunatatita pentru rutare, scalabilitate pentru performanta si rata de forwardare- nu exista broadcast => nu exista broadcast storm- nu exista checksum- extension header- flow labels pt procesarea pre-flow ca sa nu mai fie nevoie ca pachetul de la L4 sa fie identificat cu diferite fluxuri de trafic.

3. Imbunatatirea mobilitatii si securitatii:- conform cu RFC-ul pentru mobile-IP- IPsec este nativ (obligatoriu) in IPv6

4. usurarea tranzitiei cu mecanisme ca:- dual stack (si adrese IPv4 si IPv6)- 6to4 si tunelare manuala- translatii: NAT-PT, ISATAP, tunelare si tunelare Teredo (last resort method).

86

Sfatul pentru tranzitii este „dual stack where you can, tunneling where you must!”

Reprezentarea adreselor IPv6Adresele IPv6 sunt 8 campuri de 16 biti separate prin : (doua puncte) si scrise in hexazecimal. Reguli pentru scrierea mai scurta a adreselor IPv6:1. 0-urile de la inceputul campurilor sunt optionale; 0000 se poate scrie ca 02. Mai multe campuri de 0000 pot fi prescurtate prin ::3. :: este o adresa nespecificata (formata numai din 0-uri)

Cand calculatorul interpreteaza o adresa IPv6, pune 0-urile lipsa :j

Adresele IPv6 global unicast:Sunt de obicei formate dintr-un prefix de 48 biti si din 16 biti de subnet – rezulta 65535 de retele. /23 = Registry prefix/32 = ISP prefix/48 = site prefix/64 = subnet prefixrestul = interface ID (e pe 64 de biti)!

Adresele unicast pe care IANA le aloca in prezent sunt din range-ul care incepe cu valoarea binara 001 (2000::/3), care echivaleaza cu 1/8 din totalul adreselor IPv6. IANA aloca spatiul de adrese 2001::/16 catre cei 5 RIR registries (ARIN, RIPE, APNIC, LACNIC, AfriNIC).

Adrese rezervateReprezinta 1/256 din totalul adreselor IPv6. Nu specifica din ce bloc de adrese…

Adrese privateSimilar cu IPv4, doar ca in acest caz incep cu FE{8-F} (valori de la 8 la F). Sunt de 2 feluri:- adrese site-local – ar trebui sa acopere adresarea dintr-un site sau organizatie, dar din 2003 au devenit criticate si problematice in RFC 3879. Incep in hexa cu valoarea FEC, FED, FEE, FEF.- adrese link-local – se refera doar la o anumita legatura fizica; routerele nu forwardeaza pachete cu adrese link-local, nici macar in cadrul organizatiei. Sunt folosite doar pentru comunicarea locala, cum ar fi configurarea automata a adreselor, descoperirea vecinilor si descoperirea routerului. Multe protocoale IPv6 folosesc adrese link-local. Au valorile FE8, FE9, FEA, FEB.

Adresa de loopback0:0:0:0:0:0:0:1 sau ::1

Unspecified addressEste folosita de host cand nu are adresa / nu-si cunoaste adresa, este 0:0:0:0:0:0:0:0 (mai poate fi scrisa si :: )

Managementul adreselor IPv6

86

ID-ul interfetei este de 64 biti si poate fi derivat dinamic din adresa de L2 (MAC).

Adresele IPv6 pot fi alocate static sau dinamic:Static: - manual - prin EUI-64Dinamic: - stateless autoconfiguration - DHCPv6 (stateful)

Configurarea manuala se face prin comanda:R1(config-if) #ipv6 address 2001:DB8:2222:7272::72/64

Configurarea prin EUI-64:R1(config-if)#ipv6 address 2001:DB8:2222:7272::/64 eui-64Adresa MAC are 48 de biti. La jumatatea adresei MAC se introduc 16 biti sub forma hexa, cu valoarea FFFE.

Stateless autoconfiguration: Nu este specificat cum, doar ca configureaza automat device-urile, si non-PC, ca sa fie plug-and-play - sa se conecteze la retea.

Configurarea DHCPv6 (stateful):Permite serverului DHCP sa trimita configurari IPv6 nodurilor IPv6. Poate fi folosita in paralel cu configurarea stateless autoconfiguration.

Strategii de tranzitie la IPv6Nu se va trece simultan la IPv6, ceea ce inseamna ca sunt necesare mecanisme de tranzitie si mecanisme de comunicare IPv6 cu IPv4.

Dual stack = 1 nod are implementat si este conectat simultan in retele IPv4 si IPv6 <=> routerele si switchurile suporta ambele protocoale, dar IPv6 este protocolul preferat.

Tunelarea este a 2-a tehnica de tranzitie majora, are mai multe variante:1. tunelare manuala IPv6-over-IPv4 = un pachet IPv6 este incapsulat intr-un pachet IPv4, dar necesita dual stack2. tunelarea dinamica 6to4 = conecteaza automat insulele IPv6 prin retele IPv4, de obicei peste internet. Aloca dinamic un prefix IPv6 unic si valid fiecarei insule de IPv6, ceea ce permite un deploy rapid al IPv6 in retelele corporate, fara sa mai fie nevoie de obtinerea adreselor IPv6 de la ISP-isti sau registries.Alte tehnici de tunelare mai putin populare:3. tunelare Intra-Site Automatic Tunnel Address Protocol [ISATAP] = mecanism care creeaza automat tunele si care foloseste reteaua IPv4 ca link layer pentru IPv6 (se creeaza o retea IPv6 folosind infrastructura IPv4). 4. tunelarea Teredo = tunelare automata host-to-host; este trimis traficul IPv6 unicast cand hosturile dual-stack se afla in spatele unuia sau mai multor NAT-uri IPv4.

86

5. NAT protocol translation [NAT-PT] = conversie din IPv6 in IPv4. La acest moment este cea mai putin preferata metoda si ar trebui folosita ca ultima solutie (last resort).

De la IOS-ul 12.2(2)T este suportat protocolul IPv6. Comanda de activare a IPv6 esteR1(config)# ipv6 unicast-routing

La tunelarea IPv6, cand pachetul IPv6 este incapsulat intr-un pachet IPv4, campul protocol type va avea valoarea 41, iar pachetul va contine si headerul IPv4 de 20 octeti si fara options => MTU scade cu 20 de octeti + este greu de facut troubleshooting. Necesita dual stack.*reprezinta o solutie intermediara si scopul final este tranzitia la arhitectura nativa IPv6.

Configurarea manuala a tunelelor IPv6: este echivalent cu o legatura permanenta intre 2 domenii IPv6 peste o infrastructura IPv4. Este folosita pentru conexiuni stabile care au nevoie de securitate normala, intre 2 edge routere sau intre un edge router si un end system sau pentru conectarea remote a retelelor IPv6. End routerele trebuie sa fie dual stack; configuratia nu se schimba dinamic. Administratorul configureaza static interfetele tunelului cu adrese IPv6 si configureaza manual adrese IPv4 statice pentru sursa si destinatia tunelului. Evident, cele 2 capete ale tunelului trebuie sa fie dual stacked.

Configuratii de rutare IPv6Ca la CIDR-ul [classless interdomain routing] de la IPv4, este preferat longest match / cel mai mare prefix. Pentru ca spatiul de adrese este mai mare, este suficient un singur prefix pentru intreaga retea a unei organizatii. + ISP-istii agrega toate prefixele clientilor lor intr-un singur prefix pe care il anunta in internet.

Conceptual un router are 3 zone functionale:1. control plane – care gestioneaza interactiunea routerului cu celelalte elemente ale retelei, care ii da routerului informatiile necesare pentru decizii si controleaza operatiile de rutare. In acest plan sunt rulate procese ca protocoalele de rutare si managementul retelei. 2. data plane – gestioneaza forwardarea pachetelor de la o interfata (fizica sau logica) la alta. Implica diferite mecanisme de switch-are ca process switch sau Cisco Express Forwarding [CEF] in cazul routerelor cu IOS cisco.3. enhanced services – includ features avansate ca: ACE (packet filtering), QoS, criptare, translatie, accounting.

In cazul IPv6 sunt cateva provocari noi ale acestor zone functionale:Control plane:1. dimensiunea adresei IPv6, care nu mai poate fi procesata intr-un singur ciclu de procesare ci din 2 cicluri de 64 de biti (adresa IPv6 are 128 de biti).2. multiple adrese IPv6 ale nodurilor duc la un consum mai mare de memorie cache pentru Neighbor Discovery3. protocoale de rutare IPv6, care au update-urile de rutare mai mari4. dimensiunea tabelei de rutare – este mai mare si necesita mai multa memorie.

86

Data plane:1. parsarea extensiilor headerelor IPv6 – daca se folosesc ACL-uri pt pachete cu si fara header extins, posibil ca cele cu header extins sa nu poata fi procesat in hardware (sa depaseasca dimensiunea fixa a registrului hardware al routerului) si sa fie aruncate.2. cautarea adresei IPv6 ca sa determine interfata de iesire. Se folosesc ASIC-uri, dar iar apare problema de procesare si pachetele pot fi aruncate.

Protocolul de rutare RIPng- este un protocol de rutare distance vector, cu o acoperire de 15 hopuri, foloseste split horizon si poison reverse- este bazat pe RIPv2- foloseste adrese IPv6 si prefixe IPv6- update-urile de rutare sunt trimise pe adresa de multicast FF02::9- foloseste IPv6 pentru transport- se numeste RIPng- trimite update-urile pe portul UDP 521- e suportat de la IOS-ul 12.2(2)T

Activarea IPv6RouterX(config)#ipv6 unicast-routingRouterX(config-if)#ipv6 address ipv6prefix/prefix-length eui-64

Rezolutia numelui in IPv6:1. definesti un nume static pentru o adresa IPv6 prin comanda:RouterX(config)#ipv6 host name [port] ipv6addr [{ipv6addr} ...] >>> pana la 6 adreseRouterX(config)#ipv6 host router1 3ffe:b00:ffff:b::12. specifici un server DNS prin comanda:RouterX(config)#ip name-server addressRouterX(config)#ip name-server 3ffe:b00:ffff:1::10

Configurarea RIPng1. activezi IPv6 prin comanda ipv6 unicast-routing2. RouterX(config)#ipv6 router rip name3. RouterX(config-if)#ipv6 rip name enable

Show-uri:show ipv6 interface {brief}show ipv6 neighborsshow ipv6 protocolsshow ipv6 ripshow ipv6 route {summary}show ipv6 routersshow ipv6 staticshow ipv6 static adresaIPv6show ipv6 static interface s0/0/0 >>> s0/0/0 este interfata de iesire (outgoing)show ipv6 traffic

86

7.4.1.1

*********************cap 8 – network troubleshooting

Documentarea retelei:Ca sa poti pune diagnosticul corect si sa rezolvi problemele unei retele, trebuie sa stii cum a fost proiectata (design) si care este performanta asteptata de la reteaua respectiva. Aceste informatii formeaza network baseline si sunt documentate (in tabele de configuratie si topologii de retea).

Informatiile de documentare a retelei trebuie tinute intr-un singur loc, fie pe hartie, fie pe un site securizat, si ar trebui sa contina urmatoarele:1. tabelul de configurare a retelei2. tabelul de configurare a end-systems3. diagrama de topologie a retelei

Tabelul de configurare a retelei: contine inregistrari corecte, actualizate, despre hardware-ul si software-ul folosit in retea. De aici ar trebui sa obtin toate informatiile necesare sa identific si sa corectez erorile retelei.Pentru componentele retelei ar trebui sa poti afla:- tipul si modelul device-ului- IOS-ul- hostname- locatia (cladire, etaj, camera, rack, panel)- daca e device modular, ce module si in ce sloturi sunt instalate- adresa de L2 (MAC…)- adresa de L3 (IP)- orice alte informatii importante despre starea fizica a device-ului

Tabelul de configurare end-system: contine inregistrari despre elementele hardware si software din end-systems.Ar trebui sa contina:- numele sau scopul device-ului- sistemul de operare si versiunea- IP, masca, GW, DNS, WINS- orice aplicatie care necesita high-bandwidth

Diagrama de topologie a retelei: este o reprezentare grafica a retelei, care arata cum sunt conectate echipamentele si care este arhitectura logica a retelei.Ar trebui sa contina cel putin:- simboluri pentru toate echipamentele si cum sunt conectate- tipul si numarul interfetelor- IP- masca

86

Documentarea retelei se face prin:- ping- telnet- show ip interface brief- show ip route- show cdp neighbor detail

Network baseline:E important ca sa ai la ce sa te raportezi cand verifici o retea / ca sa stii cum este fata de o referinta. Vei putea sa raspunzi la intrebari ca:- care este functionarea normala a retelei- unde sunt zonele sub- si suprautilizate- unde apar cele mai multe erori- ce praguri trebuie setate pentru device-urile care trebuie monitorizate- este reteaua capabila sa furnizeze ce s-a dorit de la ea

Planificarea primei baseline:- decizi ce tipuri de date colectezi (mergi de la simplu spre complex)- identifici device-urile si porturile de interes (echipamente de retea, servere, key users, altele)- determini durata pentru analiza (intre 2 si 4 saptamani este recomandarea Cisco)

Masurarea performantei refelei:- automatizat, cu softuri dedicate. Ex: Fluke Network SuperAgent- manual, dar nu e recomandat, pentru ca necesita mult timp

Abordari pentru troubleshooting:1. caveman / brute force approach: inlocuieste un card cu altul, firele intre ele, etc, pana cand miraculos va merge reteaua. Nu e viabila metoda, nu stie de ce s-a reparat si cand o sa pice iar reteaua.2. rocket scientist: face prea multa analiza si identifica metodic toate cauzele posibile. Pierde prea mult timp, nu e viabila metoda.3. abordarea sistematica: combinarea celorlalte 2 metode, priveste reteaua ca un intreg

Depanarea / troubleshooting la nivelul stivei OSI:Layerele 5-7 au de-a face cu aplicatiile si sunt implementate de obicei numai in software.Layerele 1-4 gestioneaza problemele de transport de date; de obicei layerele 3-4 sunt implementate doar in software; layerele 1 si 2 sunt implementate si in software, si in hardware.

Nivelele la care functioneaza echipamentele de retea:L1-L4: routere, firewall-uri, multilayer switchL1-L2: switchL1: hubL1-L7: end system

Procedura pentru troubleshooting

86

1. culegi informatii / gather symptoms2. izolezi problema3. corectezi problema

Metode de troubleshooting:1. botton up – cea mai indicata cand problema e de natura fizica. Dezavantajul este ca trebuie sa verifici fiecare device si interfata de retea pana cand gasesti cauza si ca trebuie sa documentezi fiecare concluzie si posibilitate, deci va trebui sa faci multa hartogaraie.2. top down – de folosit daca problema este simpla sau daca suspectezi ca problema e cauzata de software. Dezavantajul este ca trebuie sa verifici fiecare aplicatie de retea, pana gasesti problema + faci multa hartogaraie3. divide and conquer – alegi un layer si testezi in ambele directii.

Culegerea de informatii:1. analizezi simptoamele existente2. determini ownership (daca problema este in sistemul tau sau este in afara controlului tau / sistemului autonom)3. limiteaza aria de cuprindere – vezi la ce zona a retelei este problema (distribution, access, core)4. culege (aduna) simptoame de la device-urile suspecte5. documenteaza simptoamele

Comenzi pe care le poti da:pingtelnettracerouteshow ip interface briefshow ip routeshow running-config interface[no] debug ?show protocols

8.2.6.1

Troubleshooting toolsSunt software si hardware.Software:- network management system tools [NMS] – includ tool-uri de monitorizare, configurare si fault management. Exemple: CiscoView, HP Openview, Solar Winds, What's Up Gold.- knowledge base – on line, completate cu motoare de cautare (google,…)- baseling tools – te ajuta sa faci diagrama retelei, sa tii documentatia la zi despre componentele soft si hard ale retelei, sa vezi eficienta folosirii bandwidth-ului. Exemple: SolarWinds LAN surveyor, CyberGauge- protocol analyzer – (wireshark); captureaza frame-uri, le decodeaza la nivel de layer si afiseaza informatia intr-un mod usor de urmarit.

86

Hardware:- network analysis module [NAM] e un modul care poate fi atasat switchurilor din seria Catalyst 6500 sau routerelor din seria 7600 si care ofera grafic informatii despre traficul din retea.- digital multimeters [DMM] masoara voltajul, curentul si rezistenta. Sunt folosite sa verifice daca echipamentele primesc (suficient) curent.- testere de cablu – testeaza diferite tipuri de cabluri de date, detecteaza cablurile stricate, cross-over wirings, cabluri prost cablate (improperly paired). Cele mai scumpe sunt TDR [time-domain reflectometer]; cele pentru fibra optica sunt optical TDR [oTDR].- analizoare de cablu: sunt device-uri multifunctionale, folosite pentru testarea si certificarea diferitelor tipuri de cablu, conform cu diferite servicii si standarde.- portable network analyzers: sunt folosite pentru troubleshooting la nivel de switch sau vlan.

8.3.1.1

Tehnologiile de WAN functioneaza la layerele 1, 2 si 3.

WAN Design – pasi:

1. localizezi LAN-urile pe care vrei sa le conectezi2. analizezi traficul – vezi ce se trimite, de unde se trimite, unde ajunge3. planifica topologia (full mesh, star, partial mesh, ierarhic)4. estimeaza necesarul de bandwidth5. alege tehnologia WAN pe care o vei folosi6. evalueaza costurile

Acesti pasi nu sunt liniari, pana cand se ia o decizie pot fi mai multe iteratii.

ISDN, DSL, Frame Relay, leased line sunt folosite ca sa conecteze branchuri individuale la o arie. Frame Relay, ATM si leased line sunt folosite sa conecteze ariile externe la backbone. ATM si leased line formeaza backbone-ul WAN.

Multe WAN-uri ale companiilor se conecteaza la internet => parti ale traficului pot sa treaca peste internet. Sunt mai multe variante posibile: fiecare retea a companiei se conecteaza la un ISP diferit, fie toate se conecteaza la un ISP, dintr-o conexiune core.

Probleme comune ale implementarilor WAN

- Infrastructura: privata sau publica?- Latenta - Confidentialitatea (informatii sensibile)- Securitatea (cum protejez datele)- QoS- Reliability

Cum faci troubleshooting din perspectiva unui ISP:

86

Pornesti la nivel de PC al userului, apoi succesiv LAN-ul userului, conexiunea de la edge router al clientului la edge router al ISP-ului, backbone-ul ISP-ului, si termini cu accesul la server(?).

Interpretarea diagramei retelei pentru identificarea problemelorCa sa poti sa faci troubleshooting unei retele, trebuie sa ai acces la diagrama acesteia, ceea ce include topologia fizica si topologia logica.

Diagrama fizica: arata layoutul fizic, modul in care sunt conectate deviceurile la retea. Contine:- tipul device-ului- modelul si producatorul- versiunea sistemului de operare- tipul si identificatorul cablului- specificatiile cablului- tipul de conector- endpoint-urile de cablare

Diagrama logica: arata modul in care sunt transferate datele in retea. Sunt desenate (reprezentate prin simboluri) routere, servere, huburi, hosturi, VPN concentratoare, device-uri de securitate. Contine:- identificatorul device-ului- adresa IP si masca- identificatorul interfetei- tipul conexiunii- DLCI pentru circuitele virtuale- VPN-urile site-to-site- protocoalele de rutare- rutele statice- protocoalele data-link- tehnologiile WAN folosite

Simptomele problemelor de la layerul fizicEste singurul layer care are elemente tangibile. Daca reteaua este afectata la nivel fizic, va afecta toate layerele.Simptoame comune la layerul fizic:- performante sub baseline: cele mai comune cauze sunt: servere suprasolicitate sau subalimentate cu curent, configuratii nepotrivite ale switcurilor / routerelor, congestii de trafic pe linkuri de capacitate mica, pierderea cronica a frame-urilor- pierderea conectivitatii: daca e permanent = a picat device-ul sau cablul; daca e intermitent = conexiunea e oxidata.- numar mare de coliziuni: de obicei numarul mare de coliziuni poate fi urmarit si identificata sursa (care e un device); coliziunile pot fi generate de un cablu, de huburi, de linkuri expuse la zgomote / interferente electrice externe. Media coliziunilor trebuie sa fie sub 5%.- botleneck sau congestii in retea: daca pica un router, interfata sau cablu, protocoalele de rutare pot redirectiona traficul catre alte routere care nu au fost gandite sa sustina si incarcarea suplimentara => congestii sau bottleneck-uri- rata mare de utilizare a procesorului: poate duce la shut down sau picarea device-ului

86

- mesaje de eroare de la consola

Cauzele problemelor de layer fizic- legate de alimentarea cu curent electric- erori hardware (se strica placa de retea, are drivere proaste, cabluri proaste, impamantare); jabber = placa trimite date random, fara sens- cabluri cu probleme: cabluri deconectate, mufe stricate, cablaje gresite (cross in loc de straight), cablu prea lung (Ethernet). a) Fibra optica poate face probleme daca sunt murdari conectorii, bucle prea stranse, conectorii Rx/Tx inversati. b)Problemele cu cablul coaxial apar la conectori, daca conductorul central al capatului cablului coaxial nu este drept si nu are lungimea corecta.- atenuarea: apare cand amplitudinea bitilor se reduce in timp ce acestia traverseaza un cablu si destinatarul nu mai poate diferentia un stream de celalalt. Apare daca lungimea cablului este prea mare, daca mufele sunt facute prost sau nu sunt bagate complet in NIC-uri sau daca contactele sunt oxidate.- zgomote / interferente: sunt de 4 tipuri: impulse noise (cauzat de fluctuatii de voltaj sau varfuri de curent), random noise (radio FM, statii de politie, etc…), alien crosstalk (interferente induse de alte cabluri de pe aceeasi cale), near end crosstalk ([NEXT], zgomot care este generat de crosstalk altor cabluri adiacente sau zgomot de la cablurile electrice apropiate sau orice alt transmitator mai puternic decat un telefon mobil)- erori de configurare a interfetei: seriala definita ca asincrona in loc de sincrona, clock rate gresit, clock source gresit, interfata neactivata- depasirea limitelor de proiectare: device-ul este utilizat constant la o rata mai ridicata decat este gandit sa functioneze.- supraincarcarea procesorului / CPU overload: la routere poate fi cauzat de trafic prea mare. Daca o interfata este suprasolicitata mereu poti redirectiona traficul sau upgrada hardware-ul.

Izolarea problemelor la layerul fizic- verifici conectori sau cabluri stricate- verifica daca cablurile sunt corect mufate (cross, straight)- verifica daca device-urile sunt corect conectate (cablurile sa intre in porturile corecte)- verifica daca interfetele sunt corect configurate- verifica statisticile operationale si rata erorilor (cu comanda show)

Troubleshooting la layerul Data Link

Simptoame:- nu am conectivitate sau functioneaza prost de la layerul 2 in sus- reteaua functioneaza sub nivelul de performanta al baseline-ului. Are 2 variante: a) frame-urile sunt transmise pe o cale ilogica, dar pana la urma ajung la destinatie (cauza posibila: STP prost gandit), b) frame-urile sunt aruncate- broadcast excesiv – in general este cauzat de a) aplicatii prost programate sau configurate, b) domenii de broadcast mari, c) probleme de retea ca bucle STP sau rute care flapeaza.- mesaje de la consola (de obicei line protocol down)

Cauzele problemelor de la layerul Data Link

86

- erori de incapsulare: device-urile conectate sunt configurate cu (protocoale? de) incapsulare diferite- erori de mapare a adreselor- framing errors: pot fi cauzate de: cablu serial cu multe interferente, cablu prea lung sau incorect shielded, configurare incorecta a ceasului unui CSU.- bucle sau failure ale STP: cauze: a) nu sunt blocate porturile redundante si rezulta bucle, b)flodare excesiva cauzata de schimbari prea dese ale topologiei STP, c) re- sau convergenta STP lenta

Troubleshooting layer 2 – PPPEste dificil sa faci troubleshooting in PPP sau Frame Relay, pentru ca nu ai tool-uri de layer 3 care sa te ajute. Trebuie sa intelegi si sa cunosti in detaliu modul de functionare al tehnologiei respective ca sa poti sa rezolvi eficient problemele.

Cele mai multe probleme ale PPP implica link negociation. Pasii pentru troubleshooting sunt:- verifica incapsularea corecta la ambele capetele ale linkului, cu comanda show interface serial- verifica daca negocierea link control protocol [LCP] s-a incheiat cu succes (vezi mesajul de la LPC sa fie open)- verifica autentificarea la ambele capete ale linkului cu comanda debug ppp authentication

Troubleshooting layer 2 – Frame Relay1. Verifica conexiunea fizica dintre CSU/DSU si router.2. verifica daca routerul si providerul de FR schimba informatii LMI (comanda show frame-relay lmi)3. verifica daca statusul PVC este active prin comanda show frame-relay pvc4. verifica daca ai aceeasi incapsulare Frame Relay pe ambele routere prin comanda show interfaces serial.

Troubleshooting layer 2 – STP loopsSTP ar trebui sa ruleze pe toate switch-urile, cu exceptia celor care nu sunt parte din topologia fizica looped (cu bucle).1. identifica daca se creaza bucle STP: - pierderi de conectivitate de la / catre / in regiunile de retea afectate - incarcare mare a CPU routerelor din segmentele afectate - utilizare mare a linkurilor (100% de regula) - utilizare mare a switch backplane (fata de baseline) - mesaje de syslog care arata ca pachetele au intrat intr-o bucla - mesaje syslog care arata ca sunt constant reinvatate adrese sau mesaje ca adresele MAC flapeaza - cresterea numar de pachete aruncate de mai multe interfete2. descoperi zona (scope) in care se manifesta bucla: ca sa o opresti – te uiti la interfetele cu cea mai mare utilizare a linkului. Inregistreaza aceasta informatie, ca sa poti sa gasesti cauzele buclei.3. sparge / opreste bucla: pune in shut down sau deconecteaza porturile unul cate unul si verifica utilizarea backplane. Porturile care doar forwardeaza flood-ul nu cauzeaza bucla,

86

trebuie sa le opresti pe cele care au cauzat bucla. Cand opresti un port care doar forwardeaza flood-ul, nu scazi decat putin din utilizarea backplane! 4. gaseste si repara cauza buclei: uita-te la diagrama de topologie ca sa gasesti caile redundante si pentru fiecare switch de pe calea redundanta verifica daca acesta: a)stie STP root corect, b)are portul root definit corect, c)se primesc BPDU pe portul root si pe cel blocat d)sunt trimise regulat BPDU pe porturile non-root, designated ports5. refa redundanta.

Troubleshooting la layerul NetworkSimptoame:Include problemele protocoalelor de layer 3, care sunt protocoale de rutare si protocoale rutate.Vor fi tratate protocoalele de rutare IP.Problemele = reteaua este (aproape) nefunctionala.

Troubleshooting:De obicei retelele contin rute statice si rute dinamice. Daca rutele statice sunt prost configurate pot sa duca la bucle de rutare sau sa faca anumite parti ale retelei sa nu poata fi accesate.Troubleshootingul rutelor dinamice presupune o intelegere in detaliu a protocolului dinamic folosit.

Zone de explorat cand faci troubleshooting la layerul Network:1. general network issues: verifica schimbarile de topologie, pentru ca pot duce la instalarea altor rute (statice sau dinamice) + verifica daca cineva lucreaza la infrastructura retelei in acest moment.2. probleme de conectivitate: verifica probleme de echipament sau de conectare, inclusiv alimentarea cu energie sau supraincalzirea. Mai verifica si probleme de layer 1, cum ar fi cablarea, porturile sau problemele cu ISP-ul.3. neighbor issues: daca protocolul de rutare stabileste adiacente cu vecinii, vezi daca routerele vecine au probleme4. topology database: verifica daca sunt informatii lipsa sau daca sunt informatii neasteptate (care nu ar trebui sa fie acolo)5. tabela de rutare: vezi daca contine lucruri in plus sau in minus.

Troubleshooting la layerul transportProbleme comune pot sa fie cauzate de ACL-uri si NAT.ACL:1. aplicarea ACL unui alt trafic (incorrect): interfata si directia interfetei2. ordine incorecta a elementelor de control al accesului: trebuie sa fie de la specific la general, altfel un element permis explicit poate sa nu fie niciodata aplicat, pentru ca nu se ajunge niciodata sa fie evaluat. 3. implicit deny all: nu uita ca ce nu este permis explicit, este interzis4. adrese si wildcard masks: daca NAT si ACL ruleaza simultan, ordinea de aplicare este: - traficul inbound este procesat intai de ACL inbound si apoi ajunge la NAT-ul inside-to-outside - traficul outbound este intai procesat de NAT outside-to-inside si apoi de ACL outbound

86

5. selectarea protocolului de la layerul transport: e important sa specifici numai protocolul corect. Ex: network engineer-ul configureaza si tcp si udp ca fiind permise, pt ca nu stie pe care sa il aleaga…6. porturile sursa si destinatie trebuie sa fie corect configurate7. folosirea cuvantului cheie (keyword) establish: pus pe ACL outgoing poate duce la rezultate neasteptate.8. protocoale mai putin comune: ACL + acestea = rezultate neasteptate. Ex: VPN si protocoalele de criptare.

Troubleshootingul ACL-urilor se face cu log: analizezi logurile si identifici problemele si (tentativele de) intruziune.

Probleme cauzate de NAT :NAT-ul cauzeaza probleme de interoperabilitate cu tehnologiile care preiau dintr-un pachet adresa de retea a hostului. - BOOTP si DHCP: hostul nou pornit trimite un DHCP request broadcast, cu IP sursa 0.0.0.0 NAT-ul are nevoie de ip sursa si destinatie valid, deci nu va trimite requestul… Rezolvarea este cu ip-helper feature- DNS si WINS. Idem rezolvarea cu ip-helper. Problema este ca serverele de DNS sau WINS nu vor avea o reprezentare corecta a retelei din spatele NAT-ului.- SNMP: similar cu pachetele DNS, NAT-ul nu este capabil sa altereze adresa, iar o statie de management SNMP de pe o parte a NAT-ului nu va fi capabila sa acceseze o statie agent SNMP de cealalta parte a NAT-ului. Rezolvarea este tot cu ip-helper- Protocoalele de tunelare si criptare: solicita ca traficul sa fie trimis de pe un anumit port UDP / TCP sau folosesc un protocol de transport pe care NAT-ul nu-l poate procesa. Rezolvarea : NAT static pentru portul solicitat, pentru o singura adresa IP.* nu uita ca NAT-ul afecteaza si traficul inbound, si pe cel outbound; ai grija si la cronometrele NAT-ului (sa nu expire prea repede si sa nu mai ai corespondenta din afara ca arunca pachetele; sa nu dureze prea mult ca nu mai sunt scoase din tabela si ocupa prea multa memorie).

Troubleshooting la nivel AplicatieCele mai multe protocoale de la nivelul aplicatie furnizeaza servicii userului. Protocoale cunoscute de layer aplicatie:- telnet: ofera conectare la hosturile remote; tcp port 23- http: suporta schimbul? de fisiere text, grafice, sunete, video, multimedia, pe web; tcp port 80- ftp: ofera transfer interactiv de fisiere intre hosturi; tcp port 20, 21- tftp: ofera transfer interactiv basic de fisiere intre host si device-urile de retea- smtp: ofera servicii basic de livrare de mesaje; tcp port 25- pop: se conecteaza la serverele de email si downloadeaza emailurile; tcp port 110 - snmp: colecteaza informatii de management de la deviceurile de retea; udp port 161- dns: mapeaza adrese ip cu numele alocat device-urilor de retea- network file system [NFS]: permite computerelor sa-si mounteze drive-uri de pe hosturi remote si sa opereze pe ele ca si cum ar fi locale. Se combina cu external data representation si

86

remote-procedure call (aplicatii de layer aplicatie) ca sa permita accesul transparent la resursele remote.

imap 4 – tcp port 143

Simptoame de probleme la layerul aplicatie:Se observa cand nu primesti serviciile pe care ar trebui sa le furnizeze aplicatiile.Ca sa mearga aplicatiile de la layerul aplicatie trebuie ca layerele inferioare sa mearga. Userii se plang ca aplicatia merge greuAplicatia da mesaje de eroareConsola afiseaza mesaje de eroareMesaje din logul sistemuluiAlarme de la sistemul de management al retelei

Troubleshooting:1. Ping in default gateway => arata daca L1 si L2 functioneaza corect 2. verifici conectivitatea end-to-end (extended ping de pe router Cisco) => arata daca L3 functioneaza corect3. verifici modul de operare al ACL si NAT - show access-list - clear access-list counters -- show ip nat translations -- clear ip nat translations * -- debug ip nat -- in running-config verifici daca ip nat inside si ip nat ouside sunt configurate corect.4. verifica conectivitatea protocoalelor de layere superioare – pot fi restrictionate de filtre sau firewall-uri.

Corectare:1. faci un backup2. corecteaza (schimba) ceva la hard sau soft 3. evalueaza si documenteaza fiecare schimbare si rezultat4. determina daca schimbarea rezolva problema5. opreste-te cand ai rezolvat problema6. daca este cazul, solicita asistenta din afara7. documenteaza

86