Networking Linux. Paolo Giardini. Centro di Competenza per l'open Source della Regione Umbria. GNU/Linux User Group Perugia. Perugia, 25 febbraio 2008

Transcript

1 CentrodiCompetenza perl'opensourcedella RegioneUmbria GNU/LinuxUser GroupPerugia NetworkingLinux PaoloGiardini AIPPrivacyOfficer EucipCertifiedInformaticsProfessional Consulenteperlasicurezzadelleinformazioni SocioAIP OPSI AIPSI CLUSIT ISSA FORMEZ ConsiglioDirettivoGNU/LUGPerugia CentrodiCompetenzaperl'OpenSource Perugia,25febbraio2008

2 WhoisPaoloGiardini Consulenteperlasicurezzadelleinformazioni EucipCertified EuropeanCertificationofInformaticsProfessionals MembrodelComitatoEsecutivodelCCOSdellaRegioneUmbria SocioFondatoreeConsiglieredelGNU/LUGPerugia PrivacyOfficerAIP AssociazioneInformaticiProfessionisti ResponsabileRelazioniOPSI OsservatorioNazionalePrivacyeSicurezza Informatica SocioCLUSIT AssociazioneItalianaperlaSicurezzaInformatica SocioAIPSIAssociazioneItalianaProfessionistiSicurezzaInformatica SocioISSAInformationSystemSecurityAssociation Iscrittoall'AlboConsulentieDocentiFORMEZ DipartimentodellaFunzione Pubblica ThawteWebofTrustNotary SocioILSItalianLinuxSociety

3 Sommario reteereti:laneinternet infrastruttura:ethernet,wi fi,hub,switch,router,gateway,firewall lasuitetcp/ipediprotocolli:telnet,ssh,http,https,pop,smtp indirizzoipenetmask,configurareunaretelocale,configurareuna connessione(pppoeconf) comandilinux:ifconfig,route,ping,traceroute,dhclient,netstat,tcpdump, whois filediconfigurazione:/etc/network/interfaces, /etc/resolv.conf,/etc/hosts iservizidnsedhcp wireless:configurazioneesicurezza

4 Reteereti CosaNONèunarete? Computerchenoncomunicano

5 Reteereti Cosaèunarete? Computerchecomunicanoe condividonorisorse

6 Internet Internetèunaretecompostadacomputerinterconnessi. Una"retedireti".

7 Internet Percollegarmiadinternethobisogno diconfigurareilmiopcperchè utilizziunarete. Vedremocomefunzionaunarete,e qualisonogliapparatichela compongono. Parleremoinoltredicomeconfigurare unpcperlavorareinreteequali sonoicomandilinuxper configurare,analizzareegestireuna rete.

8 Ethernet Ethernetèunprotocollodiretealivello dicollegamento.ilsuoscopoèquellodi trasferireinformazioniattraverso connessioniviacavo,incapsulandoibit inpacchettidilunghezzavariabile chiamatiframe,codificatonellostandard IEEE802.3.Ognihostdeveessere equipaggiatoconunaschedadirete costruitasecondoquestostandard. Ognischedavieneidentificataper mezzodiuncodiceunivoco (toricamentenonesistonodueschede conlostessocodice)chiamatoindirizzo MAC(MediaAccessControl)di lunghezza6byte.

9 Wi Fi Wi Fi,abbreviazionediWirelessFidelity, èunterminecheindicadispostitiviche possonocollegarsiaretilocalisenzafili (WLAN)basatesullespecificheIEEE Glihostdotatidischedawi fisi colleganoadunapparatodettoaccess Pointchetrasmetteidativiaradio. Questocomportanotevoliproblemidi sicurezzainquantochiunqueconuna sempliceschedawi fipuòconnettersi adunaccesspointnonadeguatamente protettoedavereaccessocosìaccesso allaretelocaleedallesuerisorse.

10 HubeSwitch Unhubèundispositivohardwareche svolgeilcompitodiconcentratore. Quandoricevedeidatidaunaqualsiasi dellesueportenonfanient'altroche inoltrarlisututtelealtre;proprioper questosidicechelavorainbroadcast. Questofattoèmoltoimportante,in quanto,conl'aumentodeipccollegatiin unhubdiminuiscelabandadisponibile vistocheunsingolodatodeveessere inviatoatuttelealtreporte.proprioper questoèsconsigliatousaredeglihubse bisognacollegarefraloropiùdi8pc.

11 HubeSwitch Loswitchèundispositivopiù "intelligente"dell'hub,inquantoèin gradodiinstradareipacchettididatiin manierapointtopoint.questoè possibileperchèloswitch,alsuo interno,haunatabelladituttigliindirizzi delleschedediretecollegateequando gliarrivaunpacchettosachièil destinatarioeloinviasoloalui.questo permettedirisolvereilproblemadel broadcastchesi verificavaneglihub,aumentandole prestazionidellarete.

12 Router Ilrouterèundispositivodiretechesioccupa diinstradarelecomunicazionisullereti.la caratteristicafondamentaledeirouterèchela funzionediinstradamentoèbasatasugli indirizzidilivello3(rete)"ip"delmodelloosi, adifferenzadelloswitchcheinstradasulla basedegliindirizzidilivello2(collegamento) "MAC"sonoqundiingradodimemorizzarele rottenonpersingolicalcolatorimaperintere reti.unavoltaistruitisullaretenellaquale lavoranosonoingradodiapprendendere, scambiandosiinformazionifradiloro,seuna reteèraggiugibileomenoequalepercorso siamiglioreperfarlo. SonoidispositivifondamentalidiInternet.

13 Gateway Ilgateway(dall'inglese,portone, passaggio)èundispositivodireteche operaallivellodireteesuperioridel modelloiso/osi. Ilsuoscopoprincipaleèquellodi veicolareipacchettidireteall'esterno dellaretelocale(lan).danotareche gatewayèunterminegenericocheindica ilserviziodiinoltrodeipacchettiverso l'esterno;ildispositivohardwareche porteràaterminequestocompitoè tipicamenteunrouter.

14 Firewall IlFirewall(termineinglesepermuro tagliafuoco)serveadimplementare misuredisicurezzaseparando fisicamentedueopiùreti.graziealla suaposizione,èilpassaggioobbligato dituttiipacchettiintransitoche possonopertantoessereesaminati secondodeterminateregole preimpostate,inbaseallequali potrannoesserpresedecisionicomefar passareomenoilpacchettoodattivare specificieventi.

15 TCP/IP LasuiteTCP/IPèilgruppodiprotocollisu cuisibasainternet.tramitequestiprotocolli èpossibilefargiungereipacchettididatia destinazione,verificarnelacorrettezza, individuareproblemidiconnessione.i protocollidibasesonoiltransmission ControlProtocol(TCP)el'InternetProtocol (IP)mafannopartedellasuite,perfarealcuni esempi,udp,http,ftp,edecinedialtri protocolli.ilmodelloiso/osivieneusatoper spiegareleinterazionifraivaristrati(layer) edhaalcunesimilitudiniconilmodello TCP/IPcheperòrisultadipiùsemplice applicazionepratica. A p p l i c a t i transport o n internet Network access

16 IndirizzoIPeNetmask L'indirizzoIPèilcodicecheidentificaun computerall'internodiunaretetcp/ip. E'compostoda4numeriseparatidaun punto.lopotremmodefinireanalogoad unindirizzopostale.dasoloservera poco,cinecessitaanchelanetmask cheèuncodicesimileall'indirizzoip cheindicalaretediappartenenza. Inoltreabbiamobisognodiconoscere anchel'indirizzodelgateway,ovvero dellaportatramitelaqualeinostri pacchettipotrannousciredallanostra retelocaleeraggiungereunhostposto suinternet. Trattoda:

17 ifconfig Perconfigurareunaschedadireteservonoalcuneinformazioni:indirizzoIPda assegnare,netmask,gateway,serverdns. Ifconfigèilcomandoconilqualesiconfiguradashellunaschedadirete root:~#ifconfigeth netmask up Comando interfaccia IndirizzoIP netmask Attivalascheda (downperspegnerla)

18 route Ilcomandoroutepermettedidefiniregliinstradamentiattraversoleinterfaccedi reteconfigurateprecedentemente. Inpraticaserveadimpostareilgateway. Route nmostralatabelladiroutingattuale n KernelIProutingtable DestinationGatewayGenmaskFlagsMetricRefUseIface U000eth UG000eth0 Perconfigurareildefaultgateway routeadddefaultgwindirizzo_ip_gw Pereliminarelaroutedidefault routedeldefault

19 /etc/resolv.conf IlDNS,ovveroDomainNameSystemèilserviziochepermettediassociareun indirizzoipadunaurl(uniformresourcelocator),l'indirizzowebad esempiorichiedendoloadserverspecializzatichegestisconoildatabase distribuito.seilserverinterrogatononhal'informazionerichestaècomunque incontattoconaltridnsserverchepossonofornirla. InLinuxlaconfigurazionediqualeDNSserverinterrogarevienemantenutanel fil/etc/resolv.confchehaquestastruttura: searchlocaldomain nameserver nameserver Possiamoinserirefinoa3DNS,laricercaverràeffettuatasequenzialmentesul secondoedeventualmentesulterzonelcasoilprimononrisponda.

20 /etc/hosts /etc/hostsèunsemplicefileditestochecontienenomidihostedindirizzi.quando uncomputercercadiconnettersiadunaltro,primadieffettuareunarichiestaad unserverdnscercanelfile/etc/hostssehagiàl'informazionechegliserve. Questopuòservireperassegnaredeglialiasalivellolocale,perindirizzarea computerlocaliconnessiinlan,permemorizzaregliindirizziusatidifrequente riducendolanecessitàdieffettuarerichiesteesterne,oppureperesigenzedi sicurezza. Leinformazioniin/etc/hostssononelseguienteformato: [IndirizzoInternet][nomehostufficiale][alias1][alias2]... Adesempio: myRealHostname.example.commyRealHostnamefoobar1

21 /etc/network/interfaces Ilfileditesto/etc/network/interfaces contienelaconfigurazionedellarete.se vieneimpostato,alsuccessivoriavviodel pclaretesaràconfigurata automaticamente. Dopoaveremodificatomanualmente laconfigurazione,perapplicarla lanciareilcomando: #/etc/init.d/networking restart /etc/network/interfaces: #/etc/network/interfaces #theloopbackinterface autolo ifaceloinetloopback #seconfiguratamanualmente autoeth0 ifaceeth0inetstatic address netmask broadcast gateway #seconfigurataviadhcp autoeth2 ifaceeth1inetdhcp

22 Dhcpedhclient Oltrechemanualmenteèpossibile effettuarelaconfigurazionedellaretein Password: modoautomaticomedianteiservizi offertidaserverdhcp(dynamichost ListeningonLPF/eth0/00:0c29:5c:dd:d7 SendingonLPF/eth0/00:0c:9:5c:dd:d7 ConfigurationProtocol)impostando SendingonSocket/fallback DHCPDISCOVERoneth0to port67 correttamenteilfile interval6 /etc/network/interfaceoppuretramiteil DHCPOFFERfrom comandodhclientcheinviainmodalità DHCPREQUESToneth0to port67 broadcastunarichiestaallaqualeil DHCPACKfrom boundto renewalin20041 serverrispondeconl'offertadiun seconds. indirizzoip.sel'offertavieneaccettatail pcsiconfiguraautomaticamenteanche conglialtriparametriprevisti(dns serverprimarioesecondario,gateway, proxy)

23 Configurarelaschedadirete PerconfigurarelaschedadiretetramiteinterfacciagraficainKubuntudamenu cliccaresusystemsettings,quindisunetworksettings,infinesunetwork Connectionsimpostandoindirizzo,netmask,gateway,serverDNS.

24 Configurarelaschedadirete SeladistribuzioneinstallateèUbuntusipuòutilizzarel'interfacciagraficadi NetworkManagerilcuiusoèintuitivounavoltaappresiiconcettidibase.

25 ConfigurareInternet PerconfigurareunaconnessionetramitemodemADSLconschedaethernetsi usailprogrammapppoeconf.dopoaverconfiguratolaschedadirete,aprite unashellelanciateilcomando: sudopppoeconf Bastarisponderealledomande(schedaEthernetdausare,nomeutentee password,abilitazionedellaconnessioneall avvio)perconfigurarela connessione,attivadidefault. Perdisabilitareeriattivarealconnessioneusarerispettivamenteicomandi: poffnome connessione ponnome connessione

26 ping Pingèunprogrammadisponibilesuiprincipalisistemioperativichemisurail tempo,espressoinmillisecondi,impiegatodaunoopiùpacchettiicmp(internet ControlMessageProtocol)araggiungereunaltrocomputeroserverinrete(sia essainternetolan)edaritornareindietroall'origine.èutilizzatopereffettuare testdiagnosticidelleconnessioni TecnicamentepinginviaunpacchettoICMPdiechorequesterimaneinattesadi unpacchettoicmpdiechoresponseinrisposta.solitamenteinfattilapartedi sistemaoperativodedicataallagestionedellereti(stackdirete)èprogrammata perrispondereautomaticamenteconunpacchettoechoresponseallaricezione diunpacchettodiechorequest,anchesenonèinfrequentetrovareserverche nonrispondonoalpingperpresuntimotividisicurezza. sh:~$ping (inviapacchettinostop) sh:~$ping c (inviailnumerodipacchettiimpostato)

27 traceroute Tracerouteèilprogrammachepermettediindividuareilpercorsocheipacchetti direteeffettuanopergiungereadestinazione.permettedieffettuare trobleshootingedanalisidirete. tracerouteto( ),30hopsmax,40bytepackets ( )2.094ms1.438ms1.416ms ( ) ms98.366ms ms 3host37 63 static b.business.telecomitalia.it( ) ms96.002ms96.035ms 4r pg19 vl11.opb.interbusiness.it( )96.066ms ms ms 5host245 8 static b.business.telecomitalia.it( ) ms* ms 6r rm197 vl4.opb.interbusiness.it( ) ms ms ms ( ) ms ms ms 8mclink nap.namex.it( ) ms ms ms 9net mclink.it( ) ms ms ms 10net mclink.it( ) ms ms ms

28 netstat Inognipcsonoattiviservizicheutilizzano,siainentratacheinuscita,delle connessionipercomunicareconaltrihost,odanchesolopercomunicarefra processilocali. Peraverelostatodelleconnessioniinstauratesiutilizzailcomandonetstatche utilizzatoconleopportuneopzionidàtutteleinformazioninecessarie. naptu (Notallprocessescouldbeidentified,non ownedprocessinfo willnotbeshown,youwouldhavetoberoottoseeitall.) ActiveInternetconnections(serversandestablished) ProtoRecv QSend QLocalAddressForeignAddressState PID/Programname tcp : :*listen tcp : :*listen tcp : :*listen tcp : :*listen tcp : :80 ESTABLISHED6114/konquerorkBH9h tcp600:::80:::*listen tcp600:::22:::*listen udp : :*

29 tcpdump Tcpdumpèunprogrammaperildebugdelleretidicomputerchefunzionasotto rigadicomando.consenteall'utentediintercettareevisualizzaretcp/ipealtri pacchettichevengonotrasmessioricevutiattraversolarete. ieth0 HTTPS 13:08: IP > 13:08: IPwww.mclink.it.https> :P3802:3929(127)ack845win33304<nop,nop,timestamp > 13:08: IP > 13:08: IPwww.mclink.it.https> :P3929:3966(37)ack845win33304<nop,nop,timestamp > 13:08: IP > ARP 13:08: arpwho has tell :08: arpwho has tell DNS 13:08: IP >ns4.tin.it.domain:16006+A? 13:08: IP >ns4.tin.it.domain:11874+A? 13:08: IP >ns4.tin.it.domain:18354+AAAA? 13:08: IP >ns4.tin.it.domain:20204+AAAA? 13:08: IP >ns4.tin.it.domain:30268+AAAA? 13:08: IPns4.tin.it.domain> :160061/2/2Awww.mclink.it(121) 13:08: IPns4.tin.it.domain> :118741/2/2Awww.mclink.it(121) POP 14:32: IP >mail.mclink.it.pop3:S : (0)win65535<mss1460,nop,nop,sackOK> 14:32: IP >mail.mclink.it.pop3:S : (0)win65535<mss1460,nop,nop,sackOK> 14:32: IPmail.mclink.it.pop3> :S : (0)ack win65535<mss1460,sackOK,eol> 14:32: IP >mail.mclink.it.pop3:.ack1win :32: IPmail.mclink.it.pop3> :S : (0)ack win65535<mss1460,sackOK,eol> 14:32: IP >mail.mclink.it.pop3:.ack1win65535 NETBIOS 14:36: IP netbios dgm> netbios dgm:nbtudppacket(138) 14:36: IP netbios ns> netbios ns:nbtudppacket(137):query;request;broadcast 14:36: IP netbios ns> netbios ns:nbtudppacket(137):query;request;broadcast 14:36: IP netbios ns> netbios ns:nbtudppacket(137):query;request;broadcast

30 whois Whoisèuncomandocheinterrogaildatabasedell'autoritàcheassegnainomidi dominiopermostrareleinformazionirelative.serveadidentificareilproprietario diunsitoolasottoreteassegnata.e'uncomandosolitamenterutliizzatoinfase dianalisidiunarete. ********************************************************************* *Pleasenotethatthefollowingresultcouldbeasubgroupof* *thedatacontainedinthedatabase.* ** *Additionalinformationcanbevisualizedat:* * bin/whois/whois.cgi* ********************************************************************* Domain:solution.it Status:ACTIVE Created: :00:00 LastUpdate: :02:12 ExpireDate:

31 wireless Perconfigurareunaschedadiretewirelessservonoalcuneinformazioniinpiù rispettoaquantoservaperunaschedaethernet.oltreadindirizzoip, netmask,gateway,serverdnssideveconoscereancheilnomedellarete wireless(essid)elaeventualechiavewep/wpa. Ilcomandoiwconfigsenzaparametrivisualizzaleschedediretewireless installatenelsistema. Nelcasochelanostraschedanonvengariconosciutaautomaticamentedal sistemasaràpossibileutilizzareidriverperwindowstramiteilmodulo ndiswrapper. Sidovràperprimacosainstallarendiswrapperperpoicaricareildriver.inf dellaschedadirete,quindiattivarlo(neilinklaguidaallaprocedura). Inognicasodovremovederelanostraschedawirelesselencatanell'outputdel comando.

32 iwconfig Ilcomandoiwconfigserveaconfigurareuna schedawirelesscorrettamenteinstallata. Icomandivannodaticoniprivilegidiroot. ifup[nomescheda] iwconfigwlan0modemanaged iwconfigwlan0channel11 (senecessarioimpostareun canale) iwconfigwlan0essid[networkname] iwconfigwlan0key[chiavehex] Aquestopuntovaimpostatalaconfigurazione dell'indirizzoip,delgatewayedelserverdns comegiàvistoperunaschedaethernet.

33 Sicurezzawireless LareteWi Fidiperseèinsicuradato chegliapparatiesconodifabbrica senzalemisuredisicurezzaattivate echeraramentegliutenti conosconoirischietantomenole semplicioperazioniperporvi almenoinparterimedio. Perrenderesicuraunaretewireless esistonovarietecniche,nessunadi esseèsicuraal100%mapossono dareuncertogradodiprotezione soprattuttosecombinatefraloro.

34 Sicurezzawireless CifraturaWEP:WiredEquivalentPrivacy64o128bit,praticamenteormai inutileinquantofacilmentecraccabileinpochiminuti,puòserviresoloa tenerefuoridallavostrareteutenticasuali CifraturaWPA WPS2PSK:Wi FiProtectedAccess.PiùrobustadellaWEP, offrebuonaprotezioneselechiavisonoprotettebene. CifraturaLEAP:sistemaproprietariodicifratura,nonoffrebuonaprotezionema èmegliodiwep ControllodelMAC:Inaggiuntaall'autenticazionedelclientmediantechiave crittografatasipuòimpostarel'accesspointinmodochericonoscasolole schedeabilitatetramiteilloroindirizzomac.purtroppoilmacèspoofabile... Separazionedellaretewireless:inunaretelocaleèmegliotenerel'access pointinunasottoreteseparatadaquellautilizzataperillavoro.una eventualecompromissionenonrenderàimmediatamentedisponibile l'accessoallareteedaiserviziprincipali.

35 Sicurezzawireless CaptivePortal:intercettandotuttiipacchettisiforzailclienthttpavisitareuna specialepaginawebperfornirelecredenzialidiautenticazioneprimadipoter accedereallanavigazione. NOalDHCP:nonrendetefacililecoseadunattaccantefornendoliuna comodaconfigurazioneautomatica SSIDnascosto:configurarel'accesspointpernondivulgareilproprioSSID (identificativo) Spentosenonusato:Senonservono,l'accesspointe/olaschedadireteè megliotenerlispenti: )

36 Demo simulazionediunaretelocalepermezzodiunamacchinavirtualevmware configurazionepraticadiunaschedaethernet configurazionepraticadiunaschedawireless

37 Abbiamofinito Domande? Graziedell'attenzione PaoloGiardini

38 Fontielinkutili it.org/hardware/dispositivisenzafili/ndiswrapper it.org/hardware/dispositivisenzafili/guidawifi

39 Licenzad'uso Questolavorovienedistribuitosottolicenza CreativeCommons2.5 Sei libero di copiare, distribuire, trasmettere quest'opera e di modificarla a condizione di: attribuirne la paternità all'autore originale,nonusarequest'operaperfinicommerciali,condividerla allostessomodo.