Corso per Tutor C2 CEFRIEL Politecnico di Milano Relazione sull attività del 5 maggio 2003

Transcript

1 Argomenti sviluppati: - Il protocollo DHCP e le sue applicazioni: - Configurazione e gestione del pool di indirizzi in Linux - Configurazione indirizzi statici in Linux - Il protocollo DNS e le sue implementazioni pratiche: - Configurare una zona di look-up diretta e inversa in Linux 1. Politiche di assegnazione degli indirizzi IP di reti e sottoreti Quando in un ambiente di lavoro si decide di installare una rete di computer che consenta agli utenti di scambiarsi dati e messaggi e di condividere periferiche, è indispensabile affidare l analisi del progetto ad una persona che abbia competenze non solo di gestione delle reti in termini di dispositivi da utilizzare, ma anche conoscenze di organizzazione di reti in termini di protocolli da utilizzare e scelte da operare: una scelta errata in fase di analisi potrebbe avere in seguito serie ripercussioni sia sui costi che sul modo di operare. Per quanto concerne le scelte logico-organizzative, una delle prime da compiere è quella relativa alla scelta di un indirizzo IP per la propria rete. Un indirizzo di rete 1 può appartenere ad una delle classi A, B o C a seconda che il valore del primo ottetto sia rispettivamente minore di 127 (il bit di peso binario 2 7 è sempre 0), compreso fra 128 e 191 (i due bit di peso binario più alto sono settati a 10), compreso fra 192 e 223 (i tre bit di peso binario più alto sono settati a 110); esistono anche indirizzi di classe D (1110) e di classe E (1111), ma sono riservati ad altri scopi. La scelta della classe di indirizzi da assegnare alla propria rete dipende dal numero di computer (host) che compongono la rete stessa infatti: 1. l indirizzo IP di un host è sempre composto da due porzioni: l indirizzo di rete e l indirizzo dell host all interno della rete 2. gli indirizzi di rete occupano uno, due o tre ottetti a seconda che siano rispettivamente di classe A, B o C 3. una rete di classe A potrà contenere fino a host, una rete di classe B fino a e una di classe C ne potrà contenere al massimo Altra scelta fondamentale è legata alla visibilità che i computer della rete dovranno avere all esterno: tutti i computer visibili all esterno della realtà locale devono avere indirizzi IP univoci a livello mondiale, mentre a quelli non visibili è sufficiente assegnare un indirizzo univoco all interno della realtà locale. Se si ha la necessità di utilizzare per tutti i propri computer un indirizzo di rete univoco a livello mondiale, occorre farne opportuna richiesta agli enti nazionali preposti (in Italia questo compito è affidato alla Registration Authority Italiana presso l Istituto di Informatica e Telematica del CNR di Pisa, ma in generale è sufficiente assegnare un indirizzo univoco solo ai computer che si affacciano verso il mondo esterno (può essere richiesto al proprio 1 Il formato di un indirizzo di rete è del tipo w.x.y.z. con 1 w 223, x e y e z compresi fra 0 e 255 estremi inclusi; dall ultimo ottetto (z) bisogna eliminare i valori 0 e 255 quando sono associati all indirizzo di rete o a quello di broadcast: quindi nella rete i numeri di host e non sono ammessi, mentre o sono valori perfettamente leciti anche se è opportuno non utilizzarli perché potrebbero creare problemi ad un eventuale futura implementazione di sottoreti; ciascuno dei numeri w, x, y, z prende il nome di ottetto in quanto può essere rappresentato in binario su otto bit = e = , vedi anche nota precedente Sandra Farnedi 1/10

2 provider di servizi Internet) e utilizzare internamente gli indirizzi di rete liberi definiti dall RFC che sono: classe A: /8 4 con indirizzi host da a classe B: /12 con indirizzi host da a classe C: /16 con indirizzi host da a Dopo aver stabilito quale classe (A, B, o C) e quale tipo di indirizzo di rete (pubblico o privato) utilizzare, si deve decidere se implementare o meno le sottoreti. La sottorete è una suddivisione logica degli host che vengono raggruppati in base all indirizzo IP ad essi assegnato. Può essere comodo utilizzare le sottoreti per gestire in maniera omogenea computer appartenenti a gruppi di lavoro diversi. L informazione della presenza o meno di sottoreti è segnalata dal valore della netmask. La netmask è anch essa composta da quattro ottetti che vanno interpretati nel modo seguente: tutti i bit a 1 nella netmask corrispondono ai bit che devono avere lo stesso valore nell IP address degli host affinché questi ultimi vengano considerati appartenenti ad una stessa rete o sottorete. Le netmask di default per le reti delle classi A, B e C sono rispettivamente , e Ad esempio se ci viene assegnato l indirizzo di rete pubblico , esso ci consente di collegare alla nostra rete host che, se non logicamente raggruppati, potrebbero crearci seri problemi organizzativi. Potremmo quindi decidere di utilizzare il terzo ottetto come indirizzo di sottorete e il quarto per individuare l host all interno della sottorete stessa: in questo modo potremo organizzarci con 255 sottoreti da 254 computer ciascuna. Per fare ciò sarà sufficiente assegnare alla netmask il valore , in questo modo, tutti gli host aventi l indirizzo IP con i primi tre ottetti coincidenti risulteranno appartenere alla stessa sottorete. Nell assegnare gli indirizzi di sottorete e di host occorre seguire una politica aperta a sviluppi futuri, sarà cioè opportuno cominciare ad utilizzare per la sottorete i bit dell ottetto aventi peso binario più elevato e per l host i bit di peso binario più basso in modo da poter facilmente modificare il numero di sottoreti e di host all interno della sottorete. Nell esempio precedente, se la politica di assegnazione degli indirizzi è stata accorta, si può passare ad avere 127 sottoreti da 510 computer ciascuna semplicemente portando il valore della netmask a oppure 511 sottoreti da 126 computer portando tale valore a Per ulteriori dettagli si veda l RFC Gli RFC (Request for Comments) sono i documenti che illustrano i protocolli, i servizi, le politiche e gli standard che regolano il funzionamento di Internet e del TCP/IP. Essi sono reperibili all indirizzo 4 Il numero dopo la / dà l indicazione di quanti siano i bit utilizzabili per il numero di rete privata lasciando liberi i rimanenti per l implementazione di una politica di subnetting e di quali siano gli indirizzi che non sono e non saranno mai assegnati come indirizzi IP pubblici: in questo modo si ha la certezza che i pacchetti provenienti da tali indirizzi appartengano sicuramente ad host interni alla propria realtà locale. Sandra Farnedi 2/10

3 2. Il protocollo DHCP e le sue applicazioni Come si può facilmente dedurre da quanto precedentemente esposto, una volta definita la politica di assegnazione degli indirizzi IP, rimane il non facile compito di assegnare gli indirizzi agli host della propria rete nel rispetto della politica stabilita. In un ambiente di rete contenente centinaia o addirittura migliaia di computer, la conservazione di una mappa aggiornata di tali indirizzi è un compito delicato e nello stesso tempo estremamente noioso. Il protocollo DHCP è stato definito proprio con l intento di venire incontro ai problemi di manutenzione degli indirizzi di rete assegnati ai computer di una rete locale, esso infatti assegna automaticamente gli indirizzi IP agli host che si connettono alla rete e altrettanto automaticamente libera gli indirizzi non più in uso. La presenza e l uso del protocollo DHCP non impediscono all amministratore della rete di assegnare ad alcuni host un indirizzo permanente. 2.1 Configurazione e gestione del pool di indirizzi in Linux Dal momento che Linux viene distribuito corredato da varie interfacce grafiche che ricoprono una stessa struttura logica, è opportuno che un amministratore sappia gestire il sistema utilizzando i comandi tradizionali e modificando manualmente i file di configurazione senza utilizzare le interfacce grafiche che pure consentono di svolgere le stesse funzioni. In ambiente Linux il servizio DHCP viene attivato tramite l'esecuzione del demone 5 dhcpd. Come tutti i servizi, anche il DHCP può essere configurato inserendo opportune istruzioni nel file di configurazione corrispondente che in questo caso è /etc/dhcpd.conf. Il demone dhcpd deve conoscere i numeri rete e di sottorete e i valori delle relative netmask di tutte le sottoreti che deve servire e per ogni sottorete è necessario che disponga di un range di indirizzi da assegnare agli host che ne facciano richiesta. Inoltre, per ogni sottorete è opportuno definire un tempo di lease che stabilisce il numero di secondi, trascorsi i quali, un indirizzo non più utilizzato potrà essere assegnato ad un altro host: se nessun valore è dichiarato, il sistema assume per default la durata di un giorno. A questo proposito può essere utile sapere che 600 secondi equivalgono a 10 minuti, 7200 a 2 ore, a un giorno, a una settimana e a 30 giorni. Non esiste alcun limite superiore per il valore del tempo di lease. E' inoltre possibile definire delle opzioni che costituiranno i valori di default che i client potranno ereditare dal server DHCP utilizzando opportune clausole nel file dhcpd.conf; in pratica, con tali opzioni il server può dare ai client consigli sul modo in cui configurare i parametri. 5 In ambiente Linux, i demoni sono programmi che di solito offrono servizi e che possono essere attivati automaticamente all inizializzazione del sistema. I demoni possono essere fermati e fatti ripartire se l amministratore deve svolgere attività di manutenzione o di controllo e di solito vengono eseguiti in background, senza cioè che se ne abbia esplicita visibilità sulla console del sistema. Sandra Farnedi 3/10

4 I file coinvolti nel processo di configurazione del DHCP sono: /etc/dhcpd.conf che contiene tutte le opzioni e i parametri di configurazione del demone e che l'amministratore di sistema modificherà a seconda delle esigenze della rete. Va ricordato che prima di modificare il file è opportuno fermare il servizio tramite il comando service dhcpd stop e dopo averlo modificato è necessario farlo ripartire tramite il comando service dhcpd start. Il comando service dhcpd restart invece, consente di fermare e successivamente far ripartire il demone. /var/lib/dhcp/dhcpd.leases che contiene la storia delle assegnazioni automatiche effettuate dal demone /var/run/dhcpd.pid che contiene il numero di processo associato al demone stesso. La struttura di tutti i comandi e di tutti i file di configurazione è documentata nel manuale in linea accessibile tramite il comando man seguito dal nome del file o del comando. Per una completa conoscenza delle opzioni utilizzabili all'interno del file dhcpd.conf eseguire il comando man dhcpd-options. 2.2 Configurazione di indirizzi statici in Linux L'assegnazione di indirizzi statici alle interfacce di rete è possibile tramite specifica dichiarativa nel file dhcpd.conf oppure tramite il comando ifconfig nome-interfaccia ip-address netmask. Lo stesso comando, se usato senza parametri, mostra la situazione di tutte le interfacce di rete compresi i MAC e gli IP address. Una volta configurato, il funzionamento del DHCP può essere testato tramite il comando dhcpd -t. Per quanto riguarda esempi di impostazione del file dhcp.conf fare riferimento al manuale citato in precedenza. Abbiamo visto che l amministratore di rete, può decidere di assegnare ad alcuni dispostivi indirizzi IP statici tramite il comando ifconfig nome-interfaccia indirizzoip, si rende però a questo punto indispensabile comunicare al DHCP quali siano gli indirizzi utilizzati in modo statico e a quali host siano stati assegnati. Per fare ciò è sufficiente inserire nel file dhcpd.conf le seguenti dichiarative: host pippo { hardware ethernet mac-address-del-dispositivo-di-rete; option host-name pippo ; fixed address indirizzoip-dell interfaccia; } Sandra Farnedi 4/10

5 3. La risoluzione dei nomi Altro aspetto di cui l'amministratore di rete deve occuparsi, è l'assegnazione dei nomi ai computer appartenenti al dominio di sua competenza. I nomi però, sono solamente un modo mnemonico per fare riferimento agli host, infatti i vari protocolli riconoscono i computer solo dal loro indirizzo IP o, a livello più basso, dal MAC address dei dispositivi di rete, per cui è necessario creare una corrispondenza fra i nomi e gli indirizzi. Il nome di un host può essere lungo fino a 255 caratteri sia alfabetici che numerici e i due caratteri - e.. Uno stesso host può avere più di un nome ed è anche possibile identificare un computer tramite un nickname un po come si fa con gli interlocutori frequenti di posta elettronica. Ogni computer collegato a Internet ha un nome ufficiale che lo identifica univocamente a livello mondiale che è costituito da: nome-host.sottodominio.dominio-di-secondo-livello.dominio-di-primo-livello il sottodominio potrebbe anche mancare. Il nome ufficiale viene chiamato FQDN (Fully Qualified Domain Name) e fornisce anche la collocazione dell host all interno della gerarchia Internet. La risoluzione dei nomi può essere effettuata in ciascun computer collegato alla rete inserendo opportune entry nel file /etc/hosts che ha il seguente formato: # # IP address host name alias # localhost routera.filiale1.azienda.it routera pippo.filiale1.azienda.it mio-pc segreteria.filiale1.azienda.it segr pc banca-bb servizi.ditta.com serv fare attenzione all uso dei caratteri maiuscoli perché Linux è case sensitive. Il file hosts può essere configurato da un utente qualunque e non richiede l intervento dell amministratore per cui rende particolarmente semplice la creazione della corrispondenza fra il nome e l indirizzo di un host (è evidente che questo presuppone la conoscenza dell esatto indirizzo IP dell host che si vuole raggiungere) e consente all utente stesso di fare riferimento ad un computer tramite un nickname di suo gradimento. Non è però semplice mantenere aggiornato tale file e seguire tutti i mutamenti che possono subentrare sia nella rete locale che in quelle con cui si deve dialogare. Inoltre capita spesso di dover raggiungere un host di cui si conosce il nome, ma non l indirizzo e non è pensabile effettuare manualmente tale ricerca. 3.1 Il protocollo DNS e le sue implementazioni pratiche E' quindi stato messo a punto un servizio (DNS) che consente la risoluzione dei nomi in indirizzi e viceversa; un computer su cui sia installato tale servizio prende il nome di server DNS; fra i s/w che gestiscono il servizio, il più diffuso è BIND e, come tutti i servizi di Linux è stato realizzato tramite un demone (named) e il relativo file di configurazione (/etc/named.conf). I vari server DNS presenti Sandra Farnedi 5/10

6 in Internet, dialogano fra di loro scambiandosi le mappe dei nomi secondo criteri abbastanza simili a quanto avviene per lo scambio delle tabelle di routing fra i router: ad ogni server DNS è affidato il compito di mantenere costantemente aggiornata la tabella relativa ai propri client locali contenente la corrispondenza fra FQDN e IP address; per tali client esso rappresenta l autorità di riferimento ogni server inoltre conserva al proprio interno una porzione di tutto l elenco completo dei nomi dei sistemi di Internet, in generale quella relativa ai domini più frequentemente contattati ogni server conosce inoltre gli indirizzi di altri server a cui rivolgersi quando gli viene richiesto di risolvere un nome che non conosce La procedura di risoluzione di un nome in indirizzo IP si svolge nel modo seguente: 1. un client fa richiesta di contattare un host di cui fornisce l FQDN o il nickname 2. se il nome è presente nel file /etc/hosts la risoluzione è immediata, altrimenti la richiesta viene passata al server DNS del dominio locale 3. il server DNS locale controlla l eventuale presenza del nome nelle proprie tabelle 4. se il nome richiesto è presente, fornisce l indirizzo IP corrispondente 5. se invece non è presente, invia a sua volta una richiesta al server autorevole tramite una catena di richieste ai server DNS a lui noti fino ad ottenere l indirizzo IP richiesto che verrà inviato al richiedente 3.2 Configurare una zona di look-up diretta e inversa in Linux I file coinvolti nel processo di configurazione del DNS sono: /etc/named.conf che contiene tutte le opzioni e i parametri di configurazione del demone ed è un normale file di testo modificabile dall amministratore di sistema. Va ricordato che prima di modificare il file è opportuno fermare il servizio tramite il comando service named stop e dopo averlo modificato è necessario farlo ripartire tramite il comando service named start. Il comando service named restart invece, consente di fermare e successivamente far ripartire il demone. /etc/resolv.conf contiene i nomi dei domini noti al DNS server e i rispettivi IP address /var/named è la directory che, per default, contiene i file delle varie zone note al DNS fra cui il file che contiene i server di livello più alto a livello mondiale nel sistema gerarchico di definizione dei nomi e che è contraddistinto dalla tipologia hints /var/run/named.pid che contiene il numero di processo associato al demone stesso. Sandra Farnedi 6/10

7 Esempio: L Istituto Tecnico Commerciale G. Zappa di Saronno ha registrato il proprio dominio di secondo livello itczappa.it e quindi il suo server DNS sarà l autorità preposta a diffondere i nomi e gli indirizzi degli host all interno di tale dominio. Immaginiamo, cosa non rispondente alla realtà, che l Istituto abbia anche fatto richiesta di ottenere un indirizzo di classe B e che gli sia stato assegnato l indirizzo di rete Vediamo ora quali passi l amministratore della rete deve compiere per attivare, sul suo server, la risoluzione dei nomi e degli indirizzi dei suoi host 7. Assegnare un nome al server DNS tramite il comando hostname opensource (opensource è il nome dell host che funge da DNS server) Assegnare al sistema un nome di dominio tramite il comando domainname itczappa.it Assegnare al server opensource un indirizzo di rete statico per esempio tramite il comando ifconfig eth Inserire nel file /etc/resolv.conf le seguenti informazioni: search itczappa.it nameserver Modificare, nel sistema opensource, il file /etc/named.conf per inserire la zona relativa al dominio itczappa.it aggiungendo i seguenti dati 8 : zone "itczappa.it" IN { type master; notify no; file "itczappa.it.db"; allow-update { none; }; }; zone " in-addr.arpa" IN { type master; notify no; file " db"; allow-update { none; }; }; che definiscono che il nostro computer è la massima autorità per il dominio itczappa.it e per la rete e che l elenco degli host che compongono la rete e i relativi indirizzi si trovano nei file itczappa.it.db per la risoluzione diretta (dato il nome fornisce l indirizzo) e db per la risoluzione inversa (dato l indirizzo fornisce il nome). La directory in cui tali file si trovano, è definita nel file /etc/named.conf tramite la dichiarativa options { directory "/var/named"; }; 6 Nella realtà, l indirizzo di rete , non sarà asseganto a nessuno e quindi non potrà essere mai utilizzato come pubblico, perché fa parte del range di indirizzi che l InterNIC ha riservato per le reti private (vedi anche 1) 7 Partiamo dal presupposto che durante l installazione di Linux siano stati generati i file di base per la gestione del DNS e che quindi non ne sia richiesta una stesura ex-novo 8 Per il significato delle keyword, consultare il comando man named.conf Sandra Farnedi 7/10

8 A questo punto, tramite un qualunque editor di testo, l amministratore dovrà generare i due file itczcappa.it.db e db che avranno rispettivamente i seguenti contenuti: Contenuto del file itczappa.it.db 9 : $TTL IN SOA opensource.itczappa.it. amministratore.itczappa.it. ( 42 ; serial (nome- di-chi-modifica) 3H ; refresh 15M ; retry 1W ; expiry 1D ) ; minimum NS opensource opensource A Contenuto del file db : $TTL IN SOA opensource.itczappa.it. amministratore.itczappa.it. ( 43 ; serial (nome- di-chi-modifica) 3H ; refresh 15M ; retry 1W ; expiry 1D ) ; minimum NS opensource.itczappa.it PTR opensource.itczappa.it. 9 vedi nota numero 8 Sandra Farnedi 8/10

9 Occorrerà ora fermare e far ripartire il demone named tramite i comandi service named stop e service named start; si potrà quindi interrogare il servizio stesso per vedere le risposte alle richieste di ottenere l indirizzo dell host opensource.itczappa.it o di ottenere il nome dell host il cui indirizzo è Tali richieste potranno essere effettuate tramite il comando nslookup (non più mantenuto) o, preferibilmente, tramite il comando dig 10 opensource.itczappa.it che fornirà il seguente risultato: ; <<>> DiG <<>> opensource.itczappa.it ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; QUESTION SECTION: ;opensource.itczappa.it. IN A ;; ANSWER SECTION: opensource.itczappa.it IN A ;; AUTHORITY SECTION: itczappa.it IN NS opensource.itczappa.it. ;; Query time: 0 msec ;; SERVER: #53( ) ;; WHEN: Fri May 16 19:01: ;; MSG SIZE rcvd: 70 e dig x che fornirà il seguente risultato: ; <<>> DiG <<>> -x ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 826 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1 ;; QUESTION SECTION: ; in-addr.arpa. IN PTR ;; ANSWER SECTION: in-addr.arpa IN PTR opensource.itczappa.it. ;; AUTHORITY SECTION: in-addr.arpa IN NS opensource.itczappa.it. ;; ADDITIONAL SECTION: opensource.itczappa.it IN A ;; Query time: 0 msec ;; SERVER: #53( ) ;; WHEN: Fri May 16 18:53: ;; MSG SIZE rcvd: dig = domain information groper Sandra Farnedi 9/10

10 Se il comando dig fornisce risposte corrette, si può procedere all inserimento di tutti gli altri host nei due file itczappa.it.db e db.Verranno quindi aggiunti tutti i record relativi alle varie tipologie di host che sono identificate nel modo seguente: Tipologia Funzione svolta Spiegazione SOA Start of Authority Inizio zona. Contiene informazioni quali il nome della zona, l'indirizzo di posta elettronica dell'amministratore della zona e le impostazioni per indicare ai server DNS secondari come aggiornare i file di dati della zona A Address Indica l'indirizzo IP di un nome host specifico PTR Pointer Indica il nome di un host relativo a un dato indirizzo IP CNAME 11 Canonic Name Specifica un alias per un host MX Mail Exchanger Indica l host addetto alla ricezione della posta elettronica inviata a un dominio NS Name Server Specifica il server dei nomi relativo a una determinata zona Per ulteriori dettagli su tutti i comandi e i file citati è opportuno leggere attentamente il contenuto del man corrispondente. 11 I record di tipo MX ed NS non possono puntare ad un record di tipo CNAME, mentre ciò è possibile per i record relativi ai server web Sandra Farnedi 10/10