Tool di network management Ipv6-aware

Transcript

1 Tool di network management Ipv6-aware ovvero: il mio sistema di network management capisce IPv6? Luca Carbone - INFN@MiB per conto del gruppo su Ipv6 di CCR I Tutorial di CCR: Sicurezza e Windows Frascati 15-17/2/2012

2 Che dice google?

3 2006: IPv6 dissemination...

4 : IPv6 deploy pericolosamente identiche...

5 IPv6-aware tools

6

7 6net 6diss -... Progetti UE (a termine) per la promozione dell'utilizzo di IPv6 con partner commerciali ed istituzionali. Non promette bene...

8 Quindi...? La situazione in effetti non sembra particolarmente incoraggiante: la lenta diffusione di IPv6 (e la possibilita' di pacifica coesistenza -per gli anni a venire... - dei due stack) non spinge evidentemente i produttori ad aggiornare S/W e firmware degli apparecchi con eccessiva solerzia; Il movimento open-source sembra per fortuna piu' ricettivo e rapido nell'incorporare IPv6 nei tool di gestione e controllo di rete, ma una certa lentezza (o carenza) di sviluppo e' piuttosto evidente anche in questo ambito: e' possibile che ad alcune esigenze specifiche si debba rispondere con prodotti home-made. Rimane le curiosita' di sapere quali fossero i 30+ tool testati, implementati e documentati...

9 Sistema di controllo medio se spegnessi IPv4 avrei bisogno di: API SNMP (in linguaggi compilati ed interpretati): SNMP collector/grapher: traffico, errori, parametri ambientali,, ma anche forwarding table, neighbor table, ; device dotati di MIB aggiornate ed RFC-compliant; Tool per valutazione prestazioni/connettivita'; Tool per controllo neighbor discovery, router advertisement; Sniffer per controllo flussi online e/o offline; TUTTO IPv6 COMPLIANT

10 SNMP Net-SNMP (ora alla versione 5.7.1) e' IPv6 compliant dalla versione 5.0, ed incorpora le MIB IPv6 standard: IPv6-MIB (RFC 2465) IPv6-ICMP-MIB (RFC 2466) IPv6-TCP-MIB (RFC 2452) IPv6-UDP-MIB (RFC 2454) API C, perl, python: per tutti questi linguaggi esiste una vasta gamma di librerie accessorie per la costruzione e l'analisi di pacchetti.

11 Net-SNMP al lavoro IpNetToMediaTable cinetnettomediatable (nell'albero privato della MIB Cisco, contiente sia gli indirizzi globali sia i link-local, ed e' anche piu' ricca della versione IPv4 standard, ma non possiamo andare a cercare quello che ci serve in un posto diverso per ogni vendor...)

12 Net-SNMP al lavoro

13 SNMP: problemi Chi supporta SNMP-over-IPv6 non implementa le MIB IPv6, o ne implementa versioni datate e/o proprietarie nell'albero privato (qualche CISCO: il mio) Chi supporta le MIB IPv6 (magari non tutte) non implementa il trasporto SNMPover-IPv6 (EDGE-CORE, JUNIPER?) Come (e quando) si tradurranno in IPv6 alcune tabelle importanti (ipnettomediatable, o BRIDGE-MIB::dot1dTp)? Allo stato il comportamento di un agente SNMP e' vendor dependent di una macchina con il solo stack IPv6 attivo viene registrato il MAC e basta. In generale la migrazione della MIB IPv4 a IPv6 e' ancora largamente incompleta In qualche caso (CISCO, EDGE-CORE) e' possibile sopperire con connessioni dirette vecchio stile (telnet, anche in batch) tramite CLI si accede ad informazioni assai piu' copiose e granulari (neighbor, traffic, accounting,...)

14 Accounting su CISCO Cio' che SNMP non dice (una delle tante cose): differenziazione del traffico IPv4/IPv6 a livello di interfaccia (ma non per tutti i modelli):

15 Neighbor table su CISCO PERL script che esegue uno show ipv6 neighbors tramite il venerabile modulo Net::SSH::Expect:

16 SNMP collector CRICKET: lo strato SNMP supporta IPv6, ma il parser dell'albero di configurazione (il vero motivo d'essere di CRICKET) non capisce (ne' risolve correttamente) gli indirizzi IPv6 non e' in vista un aggiornamento (il progetto e' fermo da anni); MRTG: IPv6 supportato CACTI: IPv6 supportato ZENOSS: per il momento IPv6 non supportato NAGIOS: IPv6 supportato

17 Tool vari per la valutazione di prestazioni, connettivita' etc. I tool standard (ping, traceroute,...) hanno la loro controparte IPv6 compliant (ping6, traceroute6, ); Tutti i piu' comuni traffic sink/source, a partire dal venerando ttcp passando per iperf e netperf, supportano IPv6, e possono quindi essere proficuamente utilizzati per interessanti confronti (ma non vi aspettate che IPv6 funzioni male come DECNET phase V...); SmokePing (dello stesso autore di rrdtool) supporta IPv6, e si e' arricchito ultimamente di una quantita' di probe che lo rendono potenzialmente molto interessante.

18 SmokePing example IPv4 Probe verso la medesima macchina (mailer mi.infn.it) in dual-stack IPv6

19 ndpmon Neighbor Discovery Protocol MONitor il sostituto in pectore di arpwatch per la reti IPv6. Versione 1.4 (sourceforge) sviluppo fermo dal 2009

20 ndpmon Controlla le attivita' di ND/RA sulla rete locale, se opportunamente istruito (default router, prefix) segnala (via syslog, mail, web) gli eventi sospetti, mantiene una tabella (XML) dei neighbor (MAC address LLA ipv6 global address) ed uno storico dei neighbor scoperti; puo' opzionalmente rendere inoffensivi eventuali rogue routers (sperimentale).

21 ndpmon

22 ndpmon Vi permette di toccare con mano l'attivita' IPv6 gia' ora ribollente nelle vostre LAN, e quindi e'consigliabile installarlo, ma: Sembra ancora un po' immaturo Documentazione scarsa Troppo verboso Tabella dei neighbor di dubbia utilita' in un ambiente dualstack: manca l'associazione con l'indirizzo IPv4 Necessita, in altre parole, di sviluppo ulteriore

23 Parentesi: ramond Router Advert MONitoring Daemon: focalizzato solo sui messaggi di RA configurabile, nasce per vanificare rogue RA (tipicamente Windows che offrono servizi 6to4) inviando messaggi spoofati con lifetime=0. Attualmente in uso a Milano con una certa soddisfazione, e' stato necessario comunque massaggiarlo un po' per ridurlo alla ragione Non ha l'aria di essere seguito e sviluppato con particolare lena, ma puo' essere di una qualche utilita', e se ne consiglia quindi l'utilizzo.

24 dual-stack arpwatch? Realizzare un tool che combini le feature di arpwatch ed ndpmon non e' esattamente comodo, ma e' possibile fare in modo che due strumenti di questo tipo cooperino in modo da tenere sotto controllo i nodi IPv4/IPV6-only e dual-stack. A MiB e Mi e' in funzione da anni bigearp, un tool simil-arpwatch che salva in una tabella MySQL le associazioni MAC-IP; con l'avvento di IPv6 e' iniziato lo sviluppo di una sua controparte IPv6-aware in modo da creare una tabella completa MAC-IPv4 address(es)-ipv6 address(es); con uno sforzo relativamente piccolo e' possibile estenderne la funzionalita' sino al monitoring dei messaggi di RA, e quindi alla rilevazione di rogue-router.

25 bigearp6

26 Sniffer etc. Buone notizie: tcpdump e wireshark supportano pienamente IPv6; se non si ha tempo da dedicare alla sperimentazione di strumenti dedicati puo'essere comunque interessante iniziare a vedere cosa vi passa sotto il naso senza che voi abbiate mosso un dito per implementare IPv6. Per quanto riguarda gli analizzatori di traffico, Argus e Ntop a loro volta supportano IPv6 senza problemi; quest'ultimo ha raggiunto un livello di maturita' tale da poter essere utilizzato correntemente in produzione. Netflow 9 supporta IPv6, ma per il momento non ci e' stato possibile verificarlo sul campo (il mio CISCO NON supporta netflow...)

27 Monitoring testbed GARR LAN ciscocca main router Mirrored ports Centro stella III piano RSPAN Trunk Sala macchine V piano Switch (CISCO) STEALTH monitoring station query

28 Wireshark & IPv6

29 argus & IPv6

30 argus & IPv6

31 conclusioni La transizione immediata e totale al management single-stack IPv6-only e', allo stato, ovviamente impossibile, principalmente per via delle imperscrutabili (ma nemmeno troppo) politiche commerciali dei produttori, che in molti casi inseguono i sistemi open-source; Una transizione parziale e' pero' certamente possibile e raccomandabile / consigliabile / auspicabile da molti punti di vista: e' disponibile un numero relativamente elevato di tool maturi (la lentezza del dispiegamento di IPv6 gioca a nostro favore, in quest'ottica) che coprono in modo soddisfacente quasi tutte le esigenze di base; E' probabile che la transizione totale a IPv6 sara' lenta (~10 anni?), ma se tra 4 anni vi ripresentero' queste stesse identiche trasparenze, sarete autorizzati a temere che possa essere molto lenta...