Konfiguracja sieci amatorskich.pdf

Konﬁguracjasieciamatorskich

PiotrZawadzki

9lutego2004roku

Spistre±ci

1Podstawowewiadomo±ciosieciachTCP/IP 2

2Zało»enia

3Konﬁguracjaruterai±cianyogniowej 3

3.1Typyrouterówi±cianogniowych.................................... 3

3.1.1Tardycyjneproxy......................................... 3

3.1.2Prze¹roczysteproxy....................................... 4

3.1.3MaskaradaiNAT........................................ 5

3.2Dost¦pdoInternetuprzezmodem................................... 5

3.2.1Liniadzier»awiona........................................ 5

3.2.2SDI ................................................ 5

3.2.3Neostrada............................................. 7

3.3Maskaradaiﬁrewall ........................................... 7

3.3.1 Ideadziałaniaﬁltrupakietów.................................. 7

3.3.2 Ideadziałaniatranslacjiadresów................................ 8

3.3.3Przykładowakonﬁguracja±cianyogniowejimaskarady.................... 9

4Konﬁguracjausługnaserwerze 22

4.1SerwerDHCP...............................................22

4.1.1Konﬁguracjaserwera.......................................22

4.1.2KonﬁguracjaklientawLinuksie.................................23

4.1.3KonﬁguracjaklientawWindows98..............................23

4.2SerwerDNS................................................23

4.3Serwerplikówidrukowania.......................................25

4.3.1Konﬁguracjaserwera.......................................25

4.3.2KlientSMBwLinuksie.....................................27

4.3.3KlientSMBwWindows98...................................27

4.4Serwisgraﬁcznychterminali.......................................27

4.4.1Konﬁguracjakartysieciowej...................................31

4.4.2SerwerTFTP...........................................31

4.4.3SerwerNFS............................................32

4.4.4Serwerczczionek.........................................32

4.4.5Logisystemowestacji ......................................33

4.4.6SerwerXDMCP.........................................33

4.4.7KonﬁguracjaLTSP........................................35

4.5Dost¦pzdalnyprzezSSH........................................35

4.6SerwerHTTP...............................................37

4.7SerwerpocztowyPostﬁx.........................................37

4.7.1Ochronaprzedspamem.....................................38

4.7.2Ograniczeniedost¦pudoserwera................................38

klasa adr.pocz.(bin) adr.pocz.(dec) adr.ko«.(bin) adr.ko«.(dec)

A 00000000 0 01111110 126

loop-back01111111 127 01111111 127

B 10000000 128 10111111 191

C 11000000 192 11011111 223

D 11101111 224 11101111 239

E 11110111 240 11110111 247

Tab.1:PodziałprzestrzeniadresowejIPnaklasy

Klasanetmask podziaładresuprzykładowyadreshostaadressieci

A 255.0.0.0 N.H.H.H 10.0.1.123 10.0.0.0

B 255.255.0.0 N.N.H.H 157.158.1.3 157.158.0.0

C 255.255.255.0N.N.N.H 200.150.189.31 200.150.189.0

Tab.2:PrzykładyadresówIPnale»¡cychdoró»nychklas

1Podstawowewiadomo±ciosieciachTCP/IP

ProtokółIP(ang.InternetProtocol)jestbeztsanowymprotokołemwarstwysieciowej.Adreskomputeraw

sieciachIPstanowi¡4bajty.WsieciechIPadreskomputeramusiby¢unikalny,st¡dadresys¡centralnie

przydzielane.

Internettosie¢szkieletował¡cz¡casiecikomputerowerozmieszczonenacałym±wiecie.Wtakichwarunkach

trudnosobiewyobrazi¢centralnyprzydziaładresówIPdlastacjiko«cowych.Ztegowzgl¦dusieciomprzył¡-

czonymdoInternetuprzydzielanes¡zakresyadresów,za±sprawaprzydziałuadresuIPdokonkretnejstacji

jestspraw¡administratorasiecilokalnej.St¡dpodziaładresuIPnacz¦±¢zwi¡zan¡zsieci¡icz¦±¢zwi¡zan¡

zadresemhosta(wła±niet¡cz¦±¢ustalaadministratorsiecilokalnej).Zale»nieodrozmiarusiecilokalnejadmi-

nistratormo»eubiega¢si¦oprzydziaładresuklasyA–2 24 adresów,klasyB–2 16 adresówlubklasyC–2 8

adresów.Otymczydanyadressieciowynale»ydookre±lonejklasydecydujekilkanajstarszychbitówpierwszego

bajtuadresuIP.Takaorganizacjaadresówzapewniałatwesterowanieruchempakietów.Odpowiedniezale»no±ci

ilustrujeTab.T:klasyIPPrzykładoweadresyposzczególnychklasilustrujeTab.T:PrzykladyIPDlasieciklasy

AiBliczbahostówjestolbrzymia(2 24 −2i2 16 −2,odpowiednio).Oczywi±ciezarz¡dzanietakwielkimisieciami

jestbardzotrudne.Dlategodopuszczono„wewn¦trzny”podziałsiecinapodsieci.Koncepcjajestbardzoprosta,

po»yczamycze±¢bitówzcz¦±ciadresuj¡cejhostaitraktujemyjejakoadressieci.Itaknp.je»elidlasieciklasy

Bpo»yczymyjedenbajt,tomaskapodsieciwyniesie255.255.255.0.Dzi¦kitakiejoperacjiprzekształcili±mysie¢

klasyBw2 8 −2podsieciklasyC.Musimyodj¡¢2bowiempodsie¢onumerzex.x.0miałabyadresidentyczny

zadresemsieci„matki”,za±bajtowarto±ci255zarezerwowanyjestnabroadcast(rozgłoszeniedowszystkich

stacjiwpodsieci).Ci¦»arzarz¡dzaniapodsieciamispoczywanawła±cicieluadresuklasyB.Utworzonepodsieci

maj¡dost¦pdointernetuzapo±rednictwemwła±cicielaadresuB.

Oczywi±cie,mo»liwejestwydzieleniepodsieciustalaj¡cpodziaładresunacz¦±¢sieciow¡i„hostow¡”we-

wn¡trzzktórego±bajtów.Dlaobja±nieniarozwa»mypodziałsieciklasyCnapodsieci.Wydzielmynajstarsze

3bityostatniegobajtunacz¦±¢sieciow¡.Wówczasmaskasieciwyniesie255.255.255.224(ostatnibajtbinarnie

11100000).Numerypowstałychwtensposóbpodsieciorazodpowiadaj¡cyimzakresadresówhostówprzedsta-

wiaTab.T:PodsieciIPWprowadzenieadresupodsiecipowoduje,»eniemo»emyju»wnioskowa¢omascepodsieci

maska(bin)maska(dec) adr.pocz.(dec) adr.ko«.(dec)

00100000 32 33 62

01000000 64 65 95

01100000 96 97 126

10000000 128 129 158

10100000 160 161 190

11000000 192 193 223

Tab.3:Listadost¦pnychpodsiecidlamaski255.255.255.224.

napodstawiejejnumeruIP.St¡dcz¦stostosujesi¦zapisadresówsieciwpostaci¡adresIP¿/¡liczbabitówmaski

ustawionychna1¿czylitzw.notacjiCINR(ang.).Oznaczato,»eadresyIPsiecizTab.T:PrzykladyIPmo»emy

zapisa¢jako10.0.0.0/8,157.158.0.0/16,200.150.189.0/24.

Rozwa»mykonﬁguracj¦pi¡tejzrozwa»anychpodsieci(przypu±¢my,»epodsie¢wktórejwprowadzonopo-

działmaadres157.158.17.0):adrespodsieci–157.158.17.160,maskapodsieci–255.255.255.224(lubinaczej

adrespodsieci–157.158.17.160/21)adresyhostów–157.158.17.161÷190,adresrozgłoszeniowy(broadcast)–

(157.158.17.160)+¬(255.255.255.244)=157.158.17.191.

Powy»szyprzykładilustrujerównie»„utrat¦”adresówIPprzypodzialenapodsieci.Gdysie¢157.158.17.0

potraktujemyjakosie¢klasyC,tomamydodyspozycji2 8 −2=254adresyIPdlastacji.Tymczasemproste

sumowaniepoprawnychadresówzTab.T:PodsieciIPprowadzidoliczby180.Otogdzietracimydost¦pneadresy:

• mamy6podsieciawi¦ctracimy6×2=12adresównaadresysieciibroadcasty,

• zewzgl¦dunato,»eniemo»eby¢podsiecionumerze0tracimy32adresy(0÷31),

• tracimyrównie»adresypowy»ej224bowiemniemo»eby¢podsiecionumerze11100000(binarnie)tj.31

adresów.

Sumuj¡cotrzymujemyliczb¦76.

Cz¦±¢adresówIPzostaławydzielonazpuliprzydzielanychadresówi»adenhost(czyinneurz¡dzeniesiecio-

we)podł¡czonebezpo±redniodointernetuniemo»emie¢takiegoadresuIP.Tewydzielonepuleadresówmog¡

by¢u»ywanewewn¦trzniewsieciachlokalnychjednakniemog¡by¢„widziane”zzewn¡trz.Adresywydzielonych

siecito:10.0.0.0/8,172.16.0.0/12,192.168.0.0/16.

2Zało»enia

Cz¦stospotykanymprzypadkiemdost¦pudointernetujestwykorzystywaniejednegostatycznegonumeruIP

przezgrup¦ludzi.Sytuacjawyst¦pujewmałychﬁrmach,szkołach,amatorskichsieciachosiedlowychczydost¦pie

przezSDIczyNeostrad¦zaliczanychdorozwi¡za«HSI(ang.HomeInternetSolution).

Komputerstanowi¡cywyj±ciena±wiatpełnijednocze±nierol¦routera,±cianyogniowej(ang.ﬁrewall)iewen-

tualnieserweraproxy.Wmałychﬁrmachlubszkołachzewzgl¦dunaograniczonezasobyﬁnansowekomputer

dost¦powymo»erównie»±wiadczy¢dodatkoweusługidlasiecizewn¦trznej(np.udost¦pnia¢stronyWWWczy

kontapocztowe)i/lubsieciwewn¦trznej(np.by¢serweremplikówidrukarek).Komputerywsieciwewn¦trznej

maj¡przydzielonenierutowalneadresyIP,zazwyczajzpuli192.168.x.xiprzył¡czones¡poprzezhublubswitch

dointerfejsueth0routera.Drugiminterfejsemroutera,stanowi¡cymwyj±ciena±wiatjestdzier»awionalinia

telefonicznazprzydzielonymstatycznymnumeremIP.Ruchpoprzezł¡czemodemoweodbywasi¦przezinterfejs

ppp0 .

3Konﬁguracjaruterai±cianyogniowej

3.1Typyrouterówi±cianogniowych

Wzale»no±ciodkonﬁguracjirouterai±cianyogniowejmo»emymie¢trzyró»nekonﬁguracjedost¦pudointernetu

zsieciwewn¦trznej.

3.1.1Tardycyjneproxy

Całyruchpomi¦dzystacjamizsieciwewn¦trznejiinternetemjestblokowanyprzezrouter/ﬁrewall.Nakom-

puetrzezapewniaj¡cymdost¦pdoInterneturoutingjestwył¡czony.Wyj±ciena±wiatzapewniaj¡specjalne

aplikacje,tzw.serweryproxyuruchomionenaﬁrewallupełni¡cerol¦po±rednikówmi¦dzyinternetemasieci¡

wewn¦trzn¡.Ka»dausługawymagauruchomieniaodpowiedniegoserweraproxy.Typowymprzykłademserwera

proxydlaprotokołuHTTP(ang.HypertextTransfrerProtocol)jest squid .Rowa»myscenariuszkorzystaniaz

przegl¡darkiinternetowejnastacjiwsieciwewn¦trznej.

• Niechsie¢wewn¦trznamaadres192.168.1.0/24,interfejseth0stacji192.168.1.100ainterfejseth0routera

192.168.1.254,aadresstatycznyadresIProuteramawarto±¢1.2.3.4.

• SerwerproxyHTTPjesturuchomionynarouterzeiprzyjmujepoł¡czeniatylkozsieciwewn¦trznejna

porcie8080.

• Przegl¡darkainternetowanastacjijestskonﬁgurowanadokorzystaniazserweraproxyoadresie192.168.1.254:8080.

Wtakiejkonﬁguracjianistacjaniemusimie¢skonﬁgurowanegoDNSanibramyzewen¦trznej.Narouterzenie

musipracowa¢serwerDNS.Scenariuszł¡czno±ciwygl¡danast¦puj¡co:

• przegl¡darkał¡czysi¦zserweremproxyiprosiosci¡gni¦ciestronyzzadanegoadresu,np.http://www.polsl.gliwice.pl

(157.158.1.3).

• serwerproxył¡czysi¦zhttp://www.polsl.gliwice.pliprzesyławynikdostacji.

Wpowy»szymscenariuszustacjawidzipoł¡czenia

192.168.1.100:<port><->192.168.1.1:8080

natomiastserwerzktóregopobranostron¦

157.158.1.3:80<->1.2.3.4:<port>

3.1.2Prze¹roczysteproxy

Całyruchpomi¦dzystacjamizsieciwewn¦trznejiinternetemjestblokowanyprzezrouter/ﬁrewall.Wyj±ciena

±wiatzapewniaj¡specjalneaplikacje,tzw.serweryproxyuruchomionenaﬁrewallupełni¡cerol¦po±redników

mi¦dzyinternetemasieci¡wewn¦trzn¡.Ka»dausługawymagauruchomieniaodpowiedniegoserweraproxyna

ﬁrewallu.TypowymprzykłademserweraproxydlaprotokołuHTTPdziałaj¡cegowtymtrybiejest transproxy .

Rowa»myscenariuszkorzystaniazprzegl¡darkiinternetowejnastacjiwsieciwewn¦trznej.

• Niechsie¢wewn¦trznamaadres192.168.1.0/24,interfejseth0stacji192.168.1.100ainterfejseth0routera

192.168.1.254,aadresstatycznyadresIProuteramawarto±¢1.2.3.4.

• SerwerproxyHTTPjesturuchomionynarouterzeiprzyjmujepoł¡czeniazsieciwewn¦trznejnaporcie

8080.J¡drosystemunarouterzejesttakskonﬁgurowane,»epoł¡czenianaport80s¡automatycznie

przekierowanenaport8080.Narouterzeuruchomionyjestrównie»serwerDNS(ang.DomainName

Service)pracuj¡cywtrybietradycyjnegoproxy(ang.cachingnameserver).

• StacjaroboczamaustawionejakoserwerDNSidomy±ln¡bram¦adreswewn¦trznyroutera.

• Przegl¡darkainternetowanastacjijestskonﬁgurowanajakdobezpo±redniegopodł¡czeniadoInternetu.

Scenariuszł¡czno±ciwygl¡danast¦puj¡co:

• przegl¡darkał¡czysi¦zproxyDNS192.168.1.254:53wceluznalezieniaadresuIPserwerawww.polsl.gliwice.pl,

• serwerDNSnarouterzeprzekazuje»¡daniedoswojegoserweraDNSwInternecieizwracaodpowied¹do

stacji192.168.1.100,

• stacjał¡czysi¦zadresem157.158.1.3:80poprzezdomy±lnabram¦czyli192.168.1.254,

• bramaautomatycznieprzekierowujepoł¡czeniazportem80naport8080,

• poł¡czenieprzejmujeproxy,ł¡czysi¦zadresu1.2.3.4.¡proxyport¿na157.158.1.3:80.Odpowied¹odsyła

dodostacji.

Wpowy»szymscenariuszustacjawidzipoł¡czenia

192.168.1.100:<port><->157.158.1.3:80

natomiastserwerzktóregopobranostron¦

157.158.1.3:80<->1.2.3.4:<proxyport>

3.1.3MaskaradaiNAT

Wtejkonﬁguracjistacjezsieciwewn¦trznejmog¡wymienia¢pakietyzInternetem.Oprogramowanieroutera

takmodyﬁkujeichzawarto±¢,»enazewn¡trzwygl¡daj¡takjakgdybypochodziłyzroutera,natomiastdla

stacjiwewn¦trznychwygl¡daj¡takjakgdybypochodziłybezpo±redniozhostówinternetowych.Opisanyproces

przekształcaniapakietównazywamytranslacj¡adresówNAT!(ang.NAT!).Je»elitranslacjaadresówdotyczy

interfejsuodynamicznieprzydzielanymadresieIPtonazywamyj¡maskarad¡.Rowa»myscenariuszkorzystania

zprzegl¡darkiinternetowejnastacjiwsieciwewn¦trznej.

• Niechsie¢wewn¦trznamaadres192.168.1.0/24,interfejs eth0 stacji192.168.1.100ainterfejs eth0 routera

192.168.1.254,aadresstatycznyadresIProuteramawarto±¢1.2.3.4.

• J¡drosystemunarouterzejesttakskonﬁgurowane,»epakietyprzekazywanemi¦dzyinterfejsami ppp0 i

eth0 s¡przekształcaneprzezmodułNAT.

• StacjaroboczamaustawionejakoserwerDNSidomy±ln¡bram¦narouterze.

• Przegl¡darkainternetowanastacjijestskonﬁgurowanajakdobezpo±redniegopodł¡czeniadoInternetu.

Scenariuszł¡czno±ciwygl¡danast¦puj¡co:

• przegl¡darkał¡czysi¦zDNS192.168.1.254:53wceluznalezieniaadresuIPserwerawww.polsl.gliwice.pl.

• serwerDNSnarouterzeprzekazuje»¡daniedoswojegoserweraDNSwInternecieizwracaodpowied¹do

stacji192.168.1.100,

• stacja192.168.1.100:¡port¿ł¡czysi¦zadresem157.158.1.3:80poprzezdomy±lnabram¦czyli192.168.1.1,

• pakietyprzekazywanes¡nainterfejs ppp0 iprzekształcaneprzezoprogramowanietakjakgdybyich

nadawc¡byłrouter1.2.3.4:¡masqport¿,iwysyłanedo157.158.1.3:80,

• odpowied¹nadchodziwi¦cnaport1.2.3.4:¡masqport¿iprzekazywaneprzezinterfejseth0do192.168.1.100:¡port¿.

Wpowy»szymscenariuszustacjawidzipoł¡czenia

192.168.1.100:<port><->157.158.1.3:80

natomiastserwerzktóregopobranostron¦

157.158.1.3:80<->1.2.3.4:<masqport>

Wpowy»szejkonﬁguracjimo»napomin¡¢konﬁguracj¦serweraDNSnarouterze.Nastacjimo»naustawi¢

dowolnyDNSzsiecizewn¦trznej.Zapytanieiopdowied¹zostan¡,podobniejakkomunikacjazserweremWWW,

wsposóbprze¹roczystyprzekazaneprzezmaskarad¦.

3.2Dost¦pdoInternetuprzezmodem

Dost¦pdoInternetuuzyskamykorzystaj¡czprotokołuPPP(pakietppp).Konﬁguracjajestniecoodmiennadla

dost¦puprzezlini¦dzier»awion¡(braknumerunaktórynale»ysi¦dodzwoni¢)orazprzezSDI.

3.2.1Liniadzier»awiona

3.2.2SDI

Inicjalizacj¦poł¡czeniaPPPwykonujenast¦puj¡cyskrypt

***/usr/sbin/ppp-on

#!/bin/sh

LOCAL_IP=0.0.0.0#LocalIPaddressifknown.Dynamic=0.0.0.0

REMOTE_IP=0.0.0.0#RemoteIPaddressifdesired.Normally0.0.0.0

NETMASK=255.255.255.0#Thepropernetmaskifneeded

DIALER_SCRIPT=/etc/ppp/dialer

exec/usr/sbin/pppdlockmodemcrtscts/dev/modem115200\

$LOCAL_IP:$REMOTE_IPnoipdefaultnetmask$NETMASK\

defaultrouteconnect$DIALER_SCRIPT

***

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: