Univerzita Pardubice Fakulta elektrotechniky a informatiky

Univerzita Pardubice Fakulta elektrotechniky a informatiky

´r ˇska ´ pra ´ ce Bakala

2010

ˇj Trakal Mate

Univerzita Pardubice Fakulta elektrotechniky a informatiky

´ n´ı Aplikace pro profilova ˇ´ıstupovy ´ ch seznam˚ pr u

ˇj Trakal Mate

´r ˇska ´ pra ´ ce Bakala 2010

Prohlaˇsuji: Tuto práci jsem vypracoval samostatnˇe. Veˇskeré literárn´ı prameny a informace, které jsem v práci vyuˇzil, jsou uvedeny v seznamu pouˇzité literatury. Byl jsem seznámen s t´ım, ˇze se na moji práci vztahuj´ı práva a povinnosti vypl´ yvaj´ıc´ı ze zákona ˇc. 121/2000 Sb., autorsk´ y zákon, zejména se skuteˇcnost´ı, ˇze Univerzita Pardubice má právo na uzavˇren´ı licenˇcn´ı smlouvy o uˇzit´ı této práce jako ˇskoln´ıho d´ıla podle § 60 odst. 1 autorského zákona, a s t´ım, ˇze pokud dojde k uˇzit´ı této práce mnou nebo bude poskytnuta licence o uˇzit´ı jinému subjektu, je Univerzita Pardubice oprávnˇena ode mne poˇzadovat pˇrimˇeˇren´ y pˇr´ıspˇevek na u ´hradu náklad˚ u, které na vytvoˇren´ı d´ıla vynaloˇzila, a to podle okolnost´ı aˇz do jejich skuteˇcné v´ yˇse. Souhlas´ım s prezenˇcn´ım zpˇr´ıstupnˇen´ım své práce v Univerzitn´ı knihovnˇe. V Pardubic´ıch dne 20. srpna 2010

Matˇej Trakal

Podˇ ekov´ an´ı T´ımto bych chtˇel podˇekovat Ing. Tomáˇsi Fidlerovi, vedouc´ımu mé bakaláˇrské práce, za jeho velmi cenné rady, pomoc pˇri tvorbˇe tohoto textu a ˇcas, po kter´ y se mi vˇenoval.

Souhrn Tato práce je zamˇeˇrena na otázku zabezpeˇcen´ı uˇceben pˇred neoprávnˇen´ ym pouˇz´ıván´ım zdroj˚ u s´ıtˇe v urˇcité dobˇe. Dále popisuje jednotlivé moˇznosti nastaven´ı smˇerovaˇce, abychom tohoto nastaven´ı dosáhli. V´ ysledkem práce je aplikaˇcn´ı ˇcást pro ovládán´ı smˇerovaˇce pomoc´ı pˇredpˇripraven´ ych pˇr´ıstupov´ ych seznam˚ u, které mˇen´ı jeho chován´ı.

Kl´ıˇ cov´ a slova Pˇr´ıstupové seznamy, acl, Cisco IOS, tcl, telnet, ssh, sdm

Title Application for profiling access control lists

Annotation This work is aimed to question of classroom security. It handle question of using sources of network in specified time. Work described ways to set a router. Result of the work of application part, which control router with predefined access lists. This lists change behaviour of router.

Keywords Access Lists, acl, Cisco IOS, Tool Command Language (tcl), telnet, Secure Shell (ssh), sdm

Seznam zkratek AAA Authentication, Authorization, and Accounting ACL Access Control List CAS Central Authentication Service CDT Central Daylight Time CLI

Command Line Interface

CST Central Standard Time DNS Domain Name System DVD Digital Versatile Disc ftp

File Transfer Protocol

GUI

Graphical User Interface

http

Hypertext Transfer Protocol

https Hypertext Transfer Protocol Secure IOS

Internetwork Operating System

IP

Internet Protocol

IPS

Intrusion prevention system

LAN Local Area Network MD5 Message-Digest algorithm 5 MITM Man in the midle NTP Network Time Protocol OOP Objektovˇe orientované programován´ı PHP Hypertext Processor QoS

Quality of Service

RSA iniciály autor˚ u Rivest, Shamir, Adleman SDM Security Device Manager SHA1 Secure Hash Algorithm SSH

Secure Shell

SSL

Secure Sockets Layer

TCL Tool Command Language TCLsh Tool Command Language shell telnet Telecommunication Network tftp

Trivial File Transfer Protocol

TTY Teletype — asynchronn´ı linka UDP User Datagram Protocol UPa Univerzita Pardubice VLAN Virtual Local Area Network VPN Virtual Private Network VTY virtual Teletype — virtuáln´ı linka WAN Wide Area Network WLAN Wireless Local Area Network

Seznam obr´ azk˚ u 1 2 3 4 5 6

Cisco ios módy . . . . . . . . . . . . . . . . . Administraˇcn´ı ˇcást sdm, jak se reálnˇe pouˇz´ıvá Jak funguje dns[9] . . . . . . . . . . . . . . . Topologie s´ıtˇe — rozlehlá . . . . . . . . . . . . Topologie s´ıtˇe — upˇresnˇená . . . . . . . . . . Pr˚ uchod skrz router a rozd´ılné vlan . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

15 19 26 29 30 31

Obsah ´ 1 Uvod 1.1 C´ıl práce . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

12 12

2 Cisco IOS 2.1 Moˇznosti ovládán´ı . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2 Módy IOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

13 13 14

3 Pˇ r´ıstupov´ e seznamy — Access lists 3.1 Dˇelen´ı pˇr´ıstupov´ ych seznam˚ u . . . . 3.2 Konfigurace v Cisco IOS . . . . . . . 3.2.1 Standardn´ı pojmenované ACL 3.2.2 Rozˇs´ıˇrené pojmenované ACL . 3.2.3 Aplikace na rozhran´ı . . . . .

. . . . .

16 16 17 17 17 17

. . . . . . .

18 18 18 19 20 20 21 21

. . . . .

22 22 22 22 23 23

. . . . .

24 24 24 25 25 25

. . . . .

. . . . .

. . . . .

. . . . .

. . . . .

. . . . .

. . . . .

. . . . .

. . . . .

4 Metody vzd´ alen´ e administrace 4.1 Telnet . . . . . . . . . . . . . . . . . . . . . . . . . . 4.1.1 Konfigurace na zaˇr´ızen´ıch Cisco . . . . . . . . 4.2 SDM . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.2.1 Zpˇr´ıstupnˇen´ı sluˇzby SDM na Cisco zaˇr´ızen´ıch 4.2.2 Vyuˇzit´ı SDM paket˚ u . . . . . . . . . . . . . . 4.3 Secure Shel — SSH . . . . . . . . . . . . . . . . . . . 4.3.1 Konfigurace na zaˇr´ızen´ıch Cisco . . . . . . . . 5 Tool Command Language shell — TCLsh 5.1 Vyuˇzit´ı . . . . . . . . . . . . . . . . . . . . 5.2 Ukázka pouˇzit´ı na Cisco zaˇr´ızen´ı . . . . . . 5.2.1 TCL shell reˇzim . . . . . . . . . . . 5.2.2 Spuˇstˇen´ı skriptu z extern´ıho zdroje 5.2.3 Naˇcten´ı souboru s procedurami . .

. . . . .

. . . . .

. . . . .

. . . . .

6 Dalˇ s´ı vyuˇ z´ıvan´ e moˇ znosti zaˇ r´ızen´ı ˇ 6.1 Casov´ y interval platnosti událost´ı . . . . . . . . . 6.1.1 Aplikován´ı na Cisco zaˇr´ızen´ı . . . . . . . . 6.2 Plánován´ı událost´ı — Kron . . . . . . . . . . . . 6.2.1 Ukázka vyuˇzit´ı kronu pro opakovan´ y ping 6.3 Network Time Protocol — NTP . . . . . . . . . .

. . . . .

. . . . .

. . . . .

. . . . .

. . . . .

. . . . . . .

. . . . .

. . . . .

. . . . .

. . . . . . .

. . . . .

. . . . .

. . . . .

. . . . . . .

. . . . .

. . . . .

. . . . .

. . . . . . .

. . . . .

. . . . .

. . . . .

. . . . . . .

. . . . .

. . . . .

. . . . .

. . . . . . .

. . . . .

. . . . .

6.4

6.3.1 Zapnut´ı sluˇzby na Cisco zaˇr´ızen´ı . . . . . . . . . . . . . . . Domain Name System — DNS . . . . . . . . . . . . . . . . . . . . 6.4.1 Konfigurace na Cisco zaˇr´ızen´ıch . . . . . . . . . . . . . . .

25 26 26

7 Praktick´ aˇ c´ ast 7.1 V´ ybˇer vhodn´ ych nástroj˚ u . . . . . . . . . . . . . . . . . . . . . . 7.2 Topologie s´ıtˇe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7.2.1 Ukázka zapojen´ı uˇceben . . . . . . . . . . . . . . . . . . . 7.3 Pˇripojen´ı aplikace k routeru . . . . . . . . . . . . . . . . . . . . . 7.3.1 Pˇripojen´ı a odeslán´ı dat pomoc´ı sluˇzby telnet . . . . . . . 7.3.2 Pˇr´ıjem dat ze sluˇzby telnet . . . . . . . . . . . . . . . . . . 7.3.3 Pˇripojen´ı a odeslán´ı dat pomoc´ı sluˇzby SDM . . . . . . . . 7.3.4 Pˇr´ıjem dat ze sluˇzby SDM a ovˇeˇren´ı zpracován´ı . . . . . . 7.3.5 Pˇripojen´ı a odeslán´ı dat pomoc´ı sluˇzby SSH . . . . . . . . 7.4 Ovˇeˇren´ı uˇzivatele aplikac´ı . . . . . . . . . . . . . . . . . . . . . . 7.4.1 Ukázka ovˇeˇren´ı uˇzivatele . . . . . . . . . . . . . . . . . . . 7.5 Generován´ı doby platnosti . . . . . . . . . . . . . . . . . . . . . . 7.5.1 Implementace . . . . . . . . . . . . . . . . . . . . . . . . . 7.5.2 Ukázka generován´ı ˇcasového raz´ıtka . . . . . . . . . . . . . 7.5.3 Ukázka statického vrácen´ı zkráceného názvu ˇcasového raz´ıtka 7.6 Generován´ı ACL pˇr´ıkaz˚ u . . . . . . . . . . . . . . . . . . . . . . . 7.6.1 Ukázka pˇridán´ı ˇcasového raz´ıtka . . . . . . . . . . . . . . . 7.6.2 Ukázka navrácen´ı jiˇz pˇripraveného ACL . . . . . . . . . . . 7.6.3 Ukázka navrácen´ı pole seznam˚ u ACL . . . . . . . . . . . . 7.7 Generován´ı TCL pˇr´ıkaz˚ u . . . . . . . . . . . . . . . . . . . . . . . 7.7.1 Tvorba v´ ysledného seznamu TCL pˇr´ıkaz˚ u . . . . . . . . . 7.8 Zabezpeˇcen´ı chodu smˇerovaˇce . . . . . . . . . . . . . . . . . . . .

27 27 28 28 31 31 33 34 35 35 36 36 38 38 38 39 40 40 40 41 42 42 43

8 Z´ avˇ er

45

´ Uvod

1

Jelikoˇz v posledn´ı dobˇe stoupá poˇcet prohˇreˇsk˚ u pˇri vypracováván´ı zkouˇskov´ ych test˚ u, p´ısemek a prac´ı, bylo tˇreba navrhnout nov´ y systém zabezpeˇcen´ı uˇceben proti neoprávnˇenému vyuˇz´ıván´ı sluˇzeb s´ıtˇe Internet. Tato bakaláˇrská práce se zab´ yvá t´ım, jak vhodnˇe umoˇznit, pro urˇcitou uˇcebnu, zamezen´ı pˇr´ıstupu k nepovolen´ ym sluˇzbám, nebo naopak povolit omezen´ y pˇr´ıstup pouze na pˇr´ısluˇsné servery. Práce se struˇcnˇe zab´ yvá návrhem topologie s´ıtˇe pro vhodné a snadné udrˇzován´ı pˇr´ıstupov´ ych seznam˚ u a jejich aplikaci na jednotlivé uˇcebny. Dále ˇreˇs´ı otázku zabezpeˇcen´ı pˇr´ıstupu z vytváˇrené aplikace k centráln´ımu prvku s´ıtˇe — hlavn´ımu routeru, na kterém jsou vˇsechny pˇr´ıstupové seznamy (acls) aplikovány. Hlavn´ım c´ılem práce je navrhnout zabezpeˇcen´ y systém správy pˇr´ıstupu do s´ıtˇe Internet a k dalˇs´ım sluˇzbám poskytovan´ ym v rámci univerzitn´ı s´ıtˇe UPa.

1.1

C´ıl pr´ ace

Chceme omezovat provoz na s´ıti. Toho budeme dosahovat zmˇenou nastaven´ı centráln´ıho smˇerovaˇce univerzity/fakulty. Zmˇena konfigurace bude prob´ıhat vzdálenˇe ´ z klientské aplikace, která bude bˇeˇzet na serveru1 . Uprava nastaven´ı by mˇela ovlivˇ novat pˇr´ıstupové seznamy aplikované na jednotliv´ ych rozhran´ıch smˇerovaˇce. T´ım, ˇze rozhran´ım je myˇslen pouze virtuáln´ı okruh lokáln´ı s´ıtˇe, mˇel by umoˇznit mˇenit omezován´ı provozu na s´ıti v rámci jednotliv´ ych uˇceben (virtuáln´ıch s´ıt´ı). Samotnému zabránˇen´ı pˇr´ıstupu do s´ıtˇe by mˇelo prob´ıhat právˇe aplikac´ı urˇcitého pˇr´ıstupového seznamu na rozhran´ı, ke kterému je uˇzivatel pˇripojen. V pˇr´ıstupovém seznamu by mˇely b´ yt definovány a povoleny vˇsechny sluˇzby vyuˇz´ıvané v rámci s´ıtˇe UPa (pˇrihlaˇsován´ı stanic, sluˇzba dns, dhcp a dalˇs´ı) a nadále podle poˇzadovan´ ych pravidel odepˇreny sluˇzby, které by uˇzivatel nemˇel m´ıt právo v urˇcité dobˇe vyuˇz´ıvat. Aplikaˇcn´ı ˇca´st by bylo vhodné navrhnout tak, aby ˇsla do budoucna zaˇclenit do systému cas, byla pˇripravena na centráln´ı zp˚ usob ovˇeˇrován´ı uˇzivatel˚ u a byla modulárn´ı — ˇsla pˇr´ıpadnˇe jednoduˇse rozˇsiˇrovat o dalˇs´ı funkcionalitu. Jej´ı vhodné um´ıstˇen´ı by bylo na aplikaˇcn´ım serveru, tedy by mˇela umoˇzn ˇovat b´ yt spouˇstˇena vzdálenˇe (webové rozhran´ı, aplikace typu klient/server).

1

Aplikaˇcn´ı server bude veˇrejn´ y a vˇsichni ˇclenové univerzity se k nˇemu mohou pˇripojit, tedy aplikace by mˇela pˇredpokl´ adat dostateˇcné zabezpeˇcen´ı proti neautorizovanému pˇr´ıstupu.

12

2

Cisco IOS

Cisco ios je operaˇcn´ı systém, navrˇzen´ y pro ˇr´ızen´ı provozu v s´ıt’ov´ ych prvc´ıch (routery a switche) z d´ılny Cisco Systems, Inc.

2.1

Moˇ znosti ovl´ ad´ an´ı

Cisco ios je ovládan´ y pomoc´ı textov´ ych pˇr´ıkaz˚ u psan´ ych do konzole zaˇr´ızen´ı (cli). Pro pˇripojen´ı k ios máme nˇekolik variant: Konzolov´ y port na zaˇ r´ızen´ı je dobˇre moˇzné pouˇz´ıt, pokud máme fyzick´ y pˇr´ıstup k zaˇr´ızen´ı. Pˇripojuje se pomoc´ı rollover kabelu. Toto ˇreˇsen´ı je jediné moˇzné pˇri poˇr´ızen´ı nového zaˇr´ızen´ı, které nen´ı pˇredkonfigurované, jelikoˇz nemá povoleno pˇripojen´ı pˇres telnet ani ssh. Telnet nebo SSH je nejsp´ıˇs nejpohodlnˇejˇs´ı varianta pˇripojen´ı k zaˇr´ızen´ı, jelikoˇz umoˇzn ˇuje po správné konfiguraci pˇripojen´ı i ze vzdálen´ ych m´ıst. Dále nen´ı tˇreba pˇri správˇe v´ıce zaˇr´ızen´ı pˇrepojovat kabely mezi fyzick´ ymi konzolov´ ymi porty. Pro pˇripojen´ı pˇres telnet a ssh je poˇzadováno ovˇeˇren´ı uˇzivatele pomoc´ı hesla, pˇr´ıpadnˇe i uˇzivatelského jména. Webov´ e rozhran´ı nen´ı vyloˇzenˇe pˇripojen´ı k ios konzoli a neposkytuje plné ovládán´ı zaˇr´ızen´ı. Tento zp˚ usob je vhodn´ y sp´ıˇse jen pro dohled nad funkc´ı zaˇr´ızen´ı, jelikoˇz je názorné a nevyˇzaduje znalost konfiguraˇcn´ıch pˇr´ıkaz˚ u. SNMP poskytuje správu nejen Cisco zaˇr´ızen´ı, které tento protokol podporuj´ı. Pro komunikaci mus´ı b´ yt v tomto pˇr´ıpadˇe dvˇe strany. Jedna monitorovaná (agent), která odes´ılá odpovˇedi, a druhá klientská. Ta zas´ılá speciáln´ı standardizované pˇr´ıkazy. Po pˇr´ıjmu dat od agenta data vyhodnocuje a zpracovává (napˇr. monitoring stavu s´ıtˇe). TCL shell je jedno z dalˇs´ıch moˇzn´ ych ˇreˇsen´ı. Vyuˇz´ıvá se odliˇsnˇe, neˇz v´ yˇse zm´ınˇené, a to tak, ˇze se na zaˇr´ızen´ı pˇripoj´ı pomoc´ı jiného v´ yˇse zm´ınˇeného zp˚ usobu. Poté se z tcl shellu zaˇza´dá o konfiguraˇcn´ı skript ze vzdáleného serveru (tftp, ftp, http, nebo dalˇs´ıch) a ten se nadále na zaˇr´ızen´ı vykoná. Druhá moˇznost je vstoupit do této konfiguraˇcn´ı ˇca´sti pˇr´ımo na zaˇr´ızen´ı a potˇrebné nastaven´ı zadat jako ˇrádkov´ y pˇr´ıkaz, oddˇelen´ y uvozovkami.

13

2.2

M´ ody IOS

Cisco ios pouˇz´ıvá v´ıce u ´rovn´ı zabezpeˇcen´ı pˇr´ıstupu. Oprávnˇen´ı, které uˇzivatel nad zaˇr´ızen´ım m˚ uˇze provádˇet, urˇcuje privilege level ˇc´ıslo 0–15. D´ıky tomuto ˇc´ıslu se urˇc´ı pravomoci. Uˇzivatel bez dostateˇcn´ ych práv m˚ uˇze tˇreba na zaˇr´ızen´ı jen sledovat chod, ale nemá moˇznost ho konfigurovat. Uˇ zivatelsk´ y m´ od má privilege level hodnotu 0. Uˇzivatel v tomto reˇzimu m˚ uˇze pouˇz´ıvat velice omezené mnoˇzstv´ı pˇr´ıkaz˚ u pro pˇripojen´ı na dalˇs´ı zaˇr´ızen´ı, zas´ılán´ı pˇr´ıkaz˚ u ping, zapnut´ı vyˇsˇs´ıho (privilegovaného) módu a nˇekteré dalˇs´ı. Privilegovan´ y m´ od umoˇzn ˇuje jiˇz nahl´ıˇzen´ı do aktuáln´ı konfigurace zaˇr´ızen´ı, zásahy do jeho bˇehu a spoustu dalˇs´ıch moˇznost´ı. Privilege level tohoto módu je nastaven na hodnotu 15, tedy jeho nejvyˇsˇs´ı. Kaˇzdému pˇr´ıkazu jde nastavit vlastn´ı level v rozmez´ı 1–15, dle potˇreby. Konfiguraˇ cn´ı m´ od poskytuje moˇznost nastavován´ı zaˇr´ızen´ı. Umoˇzn ˇuje zap´ınat dalˇs´ı sluˇzby bˇeˇz´ıc´ı na zaˇr´ızen´ı, konfiguraci rozhran´ı, smˇerován´ı, nastavován´ı pˇr´ıstupov´ ych práv a spoustu dalˇs´ıch.

14

Obrázek 1: Cisco ios módy

15

3

Pˇ r´ıstupov´ e seznamy — Access lists

V Cisco zaˇr´ızen´ıch se pˇr´ıstupové seznamy pouˇz´ıvaj´ı pro urˇcován´ı pravidel smˇerován´ı paket˚ u na jednotlivé rozhran´ı zaˇr´ızen´ı, pˇr´ıpadnˇe jednotlivé vlany. Pomoc´ı tˇechto seznam˚ u jde zamezit pˇr´ıstupu dle konfigurace napˇr.: z nˇekter´ ych ip adres, na nˇekteré sluˇzby a jiné dalˇs´ı moˇznosti. Kromˇe omezován´ı provozu pˇr´ıchoz´ıch i odchoz´ıch dat pˇr´ıstupové seznamy ˇsetˇr´ı i s´ıt’ové zdroje, jelikoˇz zamez´ı pr˚ uchodu paketu dále do s´ıtˇe, kde by byly následnˇe nejsp´ıˇs zablokovány nˇejak´ ym koncov´ ym zaˇr´ızen´ım a jeho firewallem. Seznamy se skládaj´ı z jednotliv´ ych vˇet“, kde kaˇzdá vˇeta (ˇrádek) znaˇc´ı právˇe ” jedno pravidlo, bud’ povolen´ı nebo zakázán´ı, pro smˇerovaˇc. Postup zpracován´ı je ten, ˇze se postupuje od prvn´ıho pravidla k posledn´ımu, kdy posledn´ı pravidlo je vˇzdy zakázán´ı veˇskerého provozu. Pokud si nˇekterou poˇzadovanou sluˇzbu nepovol´ıme, bude následnˇe právˇe posledn´ım pravidlem zablokována.

3.1

Dˇ elen´ı pˇ r´ıstupov´ ych seznam˚ u

Standardn´ı (Standard) pˇr´ıstupové seznamy filtruj´ı provoz pouze na základˇe zdrojové ip adresy. Nedokáˇz´ı filtrovat provoz na jednotliv´ ych protokolech a jejich poskytovan´ ych sluˇzbách. Filtruj´ı jednotlivé rozhran´ı zaˇr´ızen´ı jako celek, ne jednotlivé sluˇzby poskytované v rámci tcp/ip a udp protokol˚ u. Jsou vˇetˇsinou nastavovány co nejbl´ıˇze koncovému zaˇr´ızen´ı. D˚ uvod, proˇc se stále pouˇz´ıvaj´ı, je jejich v´ ypoˇcetn´ı nenároˇcnost. Zpracován´ı je velice rychlé, zpracovává se jen na základˇe zdrojové ip adresy a wildcard masky2 . Rozˇ s´ıˇ ren´ e (Extended) pˇr´ıstupové seznamy dokáˇz´ı rozliˇsovat jednotlivé protokoly a sluˇzby na nich poskytované. Dokáˇz´ı tedy filtrovat napˇr´ıklad webov´ y provoz, emailové sluˇzby a dalˇs´ı. Jejich nev´ yhodou ovˇsem oproti standardn´ım acl je, ˇze mus´ı paket v´ıce rozebrat pro anal´ yzu, aby dokázaly správnˇe porovnat paket s pravidlem v rozˇs´ıˇreném seznamu. T´ım spotˇrebuj´ı mnohem v´ıce systémov´ ych zdroj˚ ua v´ ypoˇcetn´ıho v´ ykonu potˇrebného pro jejich zpracován´ı — zatˇeˇzuj´ı smˇerovaˇc u ´kony, na kter´ y nen´ı primárnˇe urˇcen. 2

Wildcard maska je negovanou variantou masky s´ıtˇe. Udává poˇcet zaˇr´ızen´ı, nikoli poˇcet pods´ıt´ı. Pro pˇrepoˇcet na wildcard masku staˇc´ı od ˇc´ısla 255.255.255.255 odeˇc´ıst po kvadrantech masku s´ıtˇe.

16

3.2

Konfigurace v Cisco IOS

Z´ akladn´ı ACL se po prvn´ı konfiguraci jiˇz nedá zmˇenit. Dá se pouze pˇridávat dalˇs´ı záznam na konec. Jediná moˇznost opravy je zkop´ırován´ı do textového souboru a oprava ruˇcnˇe s t´ım, ˇze se upraven´ y kód následnˇe nakop´ıruje do konfigurace routeru. Pojmenovan´ e ACL kaˇzdému pˇr´ıkazu pˇriˇrad´ı jeho poˇrad´ı, pomoc´ı kterého jdou následnˇe jednotlivé ˇra´dky acl mazat, nebo mezi jiˇz nakonfigurované vkládat nové. Dalˇs´ı moˇznost konfigurace je, ˇze se pˇr´ıkaz˚ um nejdˇr´ıve specifikuje priorita (poˇrad´ı). Vzhledem k jednoduˇsˇs´ı konfiguraci a správˇe pojmenovan´ ych acl se zde základn´ımi dále zab´ yvat nebudu. Práce je s nimi obdobná, jen se m´ısto názv˚ u pouˇz´ıvaj´ı ˇc´ısla. 3.2.1

Standardn´ı pojmenovan´ e ACL

´ • Pˇridˇelen´ı názvu acl Router(config)# ip access-list standard NAZEV-ACL • Nastaven´ı jednotliv´ ych pravidel pˇr´ıstupového seznamu Router(config-stdnacl)#[deny | permit | remark] source [source-wildcard] [log] 3.2.2

Rozˇ s´ıˇ ren´ e pojmenovan´ e ACL

´ • Pˇridˇelen´ı názvu acl Router(config)#ip access-list extended NAZEV-ACL • Nastaven´ı jednotliv´ ych rozˇs´ıˇren´ ych pravidel Router(config-ext-nacl)#deny | permit | remark protocol source source-wildcard [operator operand] [port port-number or name] destination [destination-wildcard] [operaotr operand] [port port-number or name][established] 3.2.3

Aplikace na rozhran´ı

• Pˇridˇelen´ı pˇr´ıstupového seznamu jednotlivému rozhran´ı Router(config-if )#ip ´ access-group NAZEV-ACL [in | out]

17

4

Metody vzd´ alen´ e administrace

Na tomto m´ıstˇe popisuji, jak je moˇzné se na smˇerovaˇc pˇripojit a zas´ılat na nˇej pˇr´ıkazy pro ovlivˇ nován´ı konfigurace.

4.1

Telnet

Telnet je relativnˇe jednoduchá sluˇzba poskytuj´ıc´ı spojen´ı serverové a klientské strany. Pro pˇripojen´ı se vyuˇz´ıvá ip adresy serveru a portu, na kterém sluˇzba standardnˇe bˇeˇz´ı, 23. 4.1.1

Konfigurace na zaˇ r´ızen´ıch Cisco

V pˇr´ıpadˇe router˚ u Cisco se pˇred samotn´ ym pˇripojen´ım mus´ı zajistit zprovoznˇen´ı 3 vty linky s ovˇeˇren´ım pˇrihlaˇsovaného uˇzivatele. Toho se dosáhne pomoc´ı Router (config)#enable secret HESLO. T´ım se zajist´ı zabezpeˇcen´ı privilegovaného módu pomoc´ı hesla. Dále je tˇreba vykonat tyto pˇr´ıkazy: • Router(config)#line vty 0 15 pro zapnut´ı 16 virtuáln´ıch linek umoˇzn ˇuj´ıc´ıch pˇripojen´ı pomoc´ı telnetu • Router(config-line)#password JINE-HESLO pro nastaven´ı základn´ıho hesla pro pˇrihláˇsen´ı pomoc´ı VTY linky • Router(config-line)#login, ˇc´ımˇz se povol´ı pˇrihláˇsen´ı k virtuáln´ı lince Nyn´ı máme smˇerovaˇc pˇripraven na pˇripojen´ı pomoc´ı sluˇzby telnet. Tento protokol ovˇsem nen´ı nijak zabezpeˇcen a je zde velká pravdˇepodobnost odchycen´ı hesla pˇr´ıpadn´ ym u ´toˇcn´ıkem. Heslo a veˇskerá data jsou zas´ılána v plain–textu (neˇsifrovanˇe), tedy pˇri odchycen´ı paketu jdou surová data ˇc´ıst a zobrazovat si obsah jednotliv´ ych paket˚ u. mitm je bohuˇzel relativnˇe jednoduchá a funkˇcn´ı metoda, jak tyto pakety odchytit.

3

Virtual Teletype

18

4.2

SDM

Sluˇzba sdm4 je primárnˇe urˇcena pro správu a administraci zaˇr´ızen´ı pomoc´ı gui aplikaˇcn´ı ˇca´sti. Usnadˇ nuje ovládán´ı zaˇr´ızen´ı zaˇca´teˇcn´ık˚ um, ovˇsem neposkytuje kompletn´ı moˇznosti nastaven´ı. Hlavn´ı v´ yhodou je, ˇze dokáˇze detekovat zranitelnosti zaˇr´ızen´ı pomoc´ı automatické konfigurace (zadáme, na co je zaˇr´ızen´ı v s´ıti urˇceno a kter´ ych sluˇzeb vyuˇz´ıváme). Obsahuje r˚ uzné pr˚ uvodce, jak co nastavit, tedy i zaˇca´teˇcn´ık bez znalosti pˇr´ıkaz˚ u do cli je schopen zaˇr´ızen´ı pˇripravit k chodu. Tento nástroj poskytuje nastaven´ı dynamického smˇerován´ı, wan pˇr´ıstupu, wlan, firewall, vtpn, ssl vpn, ips, a qos.

Obrázek 2: Administraˇcn´ı ˇca´st sdm, jak se reálnˇe pouˇz´ıvá 4

SDM: Security Device Manager

19

4.2.1

Zpˇ r´ıstupnˇ en´ı sluˇ zby SDM na Cisco zaˇ r´ızen´ıch

Pro povolen´ı sluˇzby sdm mus´ıme na Cisco zaˇr´ızen´ıch zapnout http server a nastavit pomoc´ı jaké autentizace se bude uˇzivatel pˇrihlaˇsovat. • Zapnut´ı http serveru Router(config)#ip http server • Nastaven´ı ovˇeˇrován´ı uˇzivatele: – pomoc´ı exec módu Router(config)#ip http authentication enable – pomoc´ı lokáln´ıho ovˇeˇren´ı Router(config)#ip http authentication local 4.2.2

Vyuˇ zit´ı SDM paket˚ u

D´ıky tomu, ˇze sdm umoˇzn ˇuje konfiguraci zaˇr´ızen´ı, mus´ı také dokázat se zaˇr´ızen´ım komunikovat a konfigurovat ho. Po odchycen´ı dostateˇcného poˇctu paket˚ u pomoc´ı nástroje Wireshark jde rozpoznat, jak jsou zprávy pro zaˇr´ızen´ı a od nˇej sestavovány, jak jsou zabezpeˇceny a hlavnˇe, jak je vyuˇz´ıt pro vlastn´ı zas´ılán´ı konfiguraˇcn´ıch pˇr´ıkaz˚ u. POST / i o s w e b e x e c / commandset HTTP/1 . 1 User−Agent: M o z i l l a /4 . 0 ( Windows XP 5 . 1 ) Java /1 . 6 . 0 1 7 H o s t : 192 . 1 6 8 . 1 3 4 . 1 0 A c c e p t : t e x t / h t m l , image / g i f , image / j p e g , ∗ ; q = . 2 , ∗ /∗ ; q=.2 Connection: keep−alive A u t h o r i z a t i o n : B a s i c dXNlcm5hbWU6cGFzc3dvcmQ= Content−type: a p p l i c a t i o n /x−www−form−urlencoded Content−Length: 131 ! COMMANDSET VERSION=”1 . 0 ” ! OPTIONS BEGIN ! MODE=”0 ” ! OPTIONS END show i n t e r f a c e F a s t E t h e r n e t 0 /0 ! END ! COMMANDSET END

Jak je vidˇet z kódu, poˇsle se post dotaz s hlaviˇckou. V té je zakódované uˇzivatelské jméno a heslo Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=, pomoc´ı Base64 algoritmu. Po rozpoznán´ı metody ˇsifrován´ı, a jist´ ych dalˇs´ıch drobnostech, jiˇz nen´ı problém zas´ılat na router vlastn´ı pˇr´ıkazy. Mode=”0” v konfiguraˇcn´ıch pˇr´ıkazech znaˇc´ı exec mód, Mode=”1” pak reˇzim konfigurace.

20

4.3

Secure Shel — SSH

Secure Shell je jiˇz zabezpeˇcen´ y protokol, nyn´ı je ve dvou verz´ıch, kdy kaˇzdá poskytuje jinou u ´roveˇ n zabezpeˇcen´ı. Uˇz samotn´ y protokol poskytuje autentizaci. Pˇred samotn´ ym zahájen´ım pˇrenosu dat odeˇsle server dva kl´ıˇce ke klientovi. Klient následnˇe poˇsle zaˇsifrovan´ y kl´ıˇc serveru a t´ım se vytvoˇr´ı zabezpeˇcen´ y tunel mezi serverem a klientem. Aˇz následnˇe se zas´ılá samotná komunikace. Uvnitˇr tunelu jsou veˇskerá data chránˇena proti odposlechnut´ı d´ıky pouˇzit´ ym kl´ıˇc˚ um. Jeden z kl´ıˇc˚ u, kter´ ym se data ˇsifruj´ı, se kaˇzdou hodinu mˇen´ı, ˇc´ımˇz zvyˇsuje bezpeˇcnost. V pr˚ ubˇehu cesty mezi zdrojem a c´ılem nen´ı moˇzné si data pˇreˇc´ıst, pokud u ´toˇcn´ık nevlastn´ı privátn´ı kl´ıˇc c´ılové strany, nebo jeˇstˇe pˇred zahájen´ım komunikace nepouˇzil metodu mitm. Zde je ale dalˇs´ı metoda odhalen´ı a to ta, ˇze si klientská strana pamatuje jeden z otisk˚ u kl´ıˇce serveru. Pˇr´ıpadnˇe se tento kl´ıˇc dá ovˇeˇrit z v´ıce zdroj˚ u a pˇri jeho neplatnosti je zˇrejmé, ˇze server je podvrˇzen. 4.3.1

Konfigurace na zaˇ r´ızen´ıch Cisco

Zde uvád´ım jak pˇripravit smˇerovaˇc pro pouˇzit´ı protokolu ssh, aby s n´ım bylo moˇzné pomoc´ı tohoto protokolu komunikovat. U jednotliv´ ych pˇr´ıkaz˚ u je struˇcnˇe popsáno co zp˚ usobuj´ı, tedy by mˇel kaˇzd´ y b´ yt schopen ssh na smˇerovaˇci zprovoznit a zaˇc´ıt ho vyuˇz´ıvat, nam´ısto nezabezpeˇceného protokolu telnet. • Nastaven´ı názvu routeru: Router(config)#hostname Central • Nastaven´ı hesla pro privilegovan´ y mód: Central(config)#enable secret HESLO • Zapnut´ı aaa5 : Central(config)#aaa new-model ˇ • Vytvoˇren´ı uˇzivatele: Central(config)#username UZIVATEL secret HESLO • Nastaven´ı doménového jména routeru: Central(config)#ip domain-name upce.cz • Vygenerován´ı rsa kl´ıˇce: Central(config)#crypto key generate rsa • Poˇcet pokus˚ u o pˇrihláˇsen´ı: Central(config)#ip ssh authentication-retries 2 • Verze ssh: Central(config)#ip ssh version 2 • Konfigurace vty linky (pro ID 0 – 15): Central(config)#line vty 0 15 • Nastaven´ı pˇrenosu na ssh: Central(config-line)#transport input ssh 5

Authentication, Authorization, and Accounting

21

5

Tool Command Language shell

Tool Command Language je jednoduch´ y skriptovac´ı jazyk. Je navrˇzen´ y tak, aby byl srozumiteln´ y pˇri psan´ı a ˇcten´ı v´ ysledného kódu. Poskytuje pouze základn´ı prvky programovac´ıch jazyk˚ u, a to promˇenné, procedury a kontroln´ı struktury. Tento jazyk je implementován do Cisco ios, od verze 12.3(2)T a 12.2(25)S.

5.1

Vyuˇ zit´ı

Tohoto skriptovac´ıho jazyka lze vyuˇz´ıt pro konfiguraci Cisco zaˇr´ızen´ı. Implementace ve smˇerovaˇc´ıch a pˇrep´ınaˇc´ıch umoˇzn ˇuje zadáván´ı pˇr´ıkaz˚ u ˇra´dek po ˇra´dku do konzole ios. Po zadán´ı tcl pˇr´ıkazu je ten poslán na interpret. Pokud je pˇr´ıkaz validn´ı a projde, zobraz´ı se v´ ysledek na tty6 . Jestliˇze pˇr´ıkaz nen´ı shledán jako tcl, je nadále zaslán do parseru ios, kde se opˇet zkus´ı vykonat. Pokud ani zde nevyhov´ı, zobraz´ı se ve finále dvˇe chybové zprávy. Prvn´ı chybová zpráva je vygenerována tcl parserem, druhá následnˇe Cisco ios parserem. Jejich informaˇcn´ı hodnota pro uˇzivatele m˚ uˇze b´ yt rozd´ılná, jelikoˇz obˇe syntaktické anal´ yzy maj´ı rozd´ılnou chybovou zprávu. Skripty lze vytváˇret i mimo zaˇr´ızen´ı a následnˇe je spouˇstˇet bud’ z extern´ıho zaˇr´ızen´ı (tftp, http, ...), nebo je z u ´loˇziˇstˇe nahrát do zaˇr´ızen´ı a spustit je lokálnˇe. Jelikoˇz je moˇzné b´ yt na router pˇripojen z mnoha m´ıst, mus´ı dokázat tcl bˇeˇzet ve v´ıce vláknech najednou, aby se pˇr´ıkazy neovlivˇ novaly.

5.2

Uk´ azka pouˇ zit´ı na Cisco zaˇ r´ızen´ı

Pro pouˇzit´ı tcl shellu mus´ı b´ yt uˇzivatel pˇrihláˇsen v privilegovaném módu, ze kterého se dá vstoupit do tcl reˇzimu. Tento reˇzim má v´ıce zp˚ usob˚ u, jak naˇc´ıtat a vykonávat spouˇstˇen´ı skript˚ u. 5.2.1

TCL shell reˇ zim

V tomto reˇzimu jiˇz lze zadávat jednotlivé tcl pˇr´ıkazy. Zadávané pˇr´ıkazy se mus´ı zapisovat vˇzdy celé na jeden ˇra´dek. Pro spouˇstˇen´ı pˇr´ıkaz˚ u z privilegovaného reˇ ´ ˇzimu se vyuˇz´ıvá pˇr´ıkazu Router(tcl)#exec PRIKAZ“ a pro konfiguraci zaˇr´ızen´ı ”ˇ ´ ˇ IKAZ“ ´ Router(tcl)#ios config PR PODPR IKAZ“. ” ” 6

Teletype — asynchronn´ı linka

22

5.2.2

Spuˇ stˇ en´ı skriptu z extern´ıho zdroje

Tato moˇznost byla pˇridána aˇz v pozdˇejˇs´ıch verz´ıch Cisco ios. Dobˇre lze uplatnit, pokud máme u ´loˇziˇstˇe, kde veˇskeré konfiguraˇcn´ı soubory uchováváme a budeme je z nˇej volat. Nev´ yhoda je, ˇze takto volané skripty nelze upravovat pomoc´ı parametr˚ u, jelikoˇz se spouˇst´ı pˇr´ımo. Nelze vyuˇz´ıvat procedur. Pokud soubor vypistext.tcl obsahuje puts Vypisovaný text“, pˇr´ıkaz Router#tclsh ” tftp://192.168.134.1/vypistext.tcl vyp´ıˇse do konzole hláˇsku Vypisovaný text. 5.2.3

Naˇ cten´ı souboru s procedurami

V´ yhodou tohoto zp˚ usobu je, ˇze lze volat procedury, které jsou naˇcteny v souboru. Tento soubor m˚ uˇze b´ yt um´ıstˇen na libovolném z mnoha dostupn´ ych u ´loˇziˇst’ (nvram, flash, sloty, tftp, http, . . . ). Zpˇr´ıstupnˇen´ı souboru se provád´ı pomoc´ı pˇr´ıkazu Router(config)#scripting tcl init tftp://192.168.134.1/TclSkript.tcl. Samotné spuˇstˇen´ı skriptu jiˇz prob´ıhá v tcl shell reˇzimuRouter(tcl)#NázevProcedury parametr1“ parametr2“ . . . ” ”

23

6

Dalˇ s´ı vyuˇ z´ıvan´ e moˇ znosti zaˇ r´ızen´ı

V této ˇca´sti uvád´ım dalˇs´ı vyuˇz´ıvané sluˇzby, které Cisco smˇerovaˇce poskytuj´ı. Jedná se o nastaven´ı ˇcasov´ ych událost´ı, plánován´ı událost´ı, nastaven´ı aktuáln´ıho data na smˇerovaˇci a k nˇemu potˇrebnému nastaven´ı dns záznam˚ u.

6.1

ˇ Casov´ y interval platnosti ud´ alost´ı

Cisco zaˇr´ızen´ı umoˇzn ˇuj´ı aplikovat jisté druhy nastaven´ı na omezenou dobu, bud’ na interval, nebo na opakovanou událost. Toho se dá vyuˇz´ıt, pokud poˇzadujeme zmˇenit nastaven´ı v jisté dobˇe. Poˇzadujeme napˇr´ıklad omezen´ı moˇznosti pˇripojen´ı na sluˇzbu ssh na vˇsechn´ı dny, kdy se pˇripojuj´ı správci s´ıtˇe, aby mohli mˇenit konfiguraci zaˇr´ızen´ı. M˚ uˇzeme toho pomoc´ı ˇcasového nastaven´ı a pˇr´ıstupového seznamu doc´ılit celkem snadno. 6.1.1

Aplikov´ an´ı na Cisco zaˇ r´ızen´ı

Periodick´ e jdou nastavit, aby mˇenili nastaven´ı opakovanˇe v jistém intervalu • Nastaven´ı ˇcasového kontejneru Router(config)#time-range time-rangename • Samotn´ y interval Router(config-time-range)#periodic days-of-the-week hh:mm to [days-of-the-week] hh:mm Absolutn´ı se nastavuj´ı na dobu, od kdy do kdy maj´ı b´ yt aplikovány • Nastaven´ı ˇcasového kontejneru Router(config)#time-range time-rangename • Vlastn´ı rozsah Router(config-time-range)#absolute [start time date] [end time date] Aplikov´ an´ı na ACL pro aktivován´ı ˇcasového plánu • Nastaven´ı ˇcasového kontejneru Router(config-acl)#ip access-list name| number <extended definition>time-rangename of time-range V této práci vyuˇz´ıvám ˇcasov´ ych událost´ı pouze jednorázov´ ych, bez opakován´ı. Pro kaˇzd´ y nastavovan´ y pˇr´ıstupov´ y seznam udˇelám ˇcasové omezen´ı jeho platnosti, t´ım aktivuji profil jen na urˇcitou dobu a následnˇe na jeho pozici navrát´ım p˚ uvodn´ı profil, kter´ y na portu byl nastaven dˇr´ıve. 24

6.2

Pl´ anov´ an´ı ud´ alost´ı — Kron

Kron, neboli plánován´ı událost´ı, se vyuˇz´ıvá, pokud chceme dopˇredu stanovit akci, která se v dan´ y ˇcas má provést. M˚ uˇzeme t´ım aplikovat zmˇenu celé konfigurace, vypnut´ı rozhran´ı, aktivaci pˇr´ıstupového seznamu nebo provést r˚ uzné dalˇs´ı zmˇeny. 6.2.1

Uk´ azka vyuˇ zit´ı kronu pro opakovan´ y ping

• Nastav´ı kron kontejner: kron occurrence UdalostPing in 10 recurring • Co se má vykonat za kontejner událost´ı: policy-list StartPing • Seznam událost´ı (jejich název): kron policy-list StartPing • Samotné pˇr´ıkazy kronu: cli ping ip 192.168.134.2

6.3

Network Time Protocol

Network Time Protocol je jeden z nejd˚ uleˇzitˇejˇs´ıch protokol˚ u s´ıtˇe, kter´ y slouˇz´ı pro synchronizaci ˇcasu jednotliv´ ych zaˇr´ızen´ı. Veˇskeré zálohy, plánované události a dalˇs´ı jsou ˇr´ızeny pomoc´ı ˇcasu. Správné nastaven´ı ˇcasu je tedy kl´ıˇcové, a proto se hod´ı vyuˇz´ıt pˇresného ˇcasu ˇr´ızeného z atomov´ ych hodin. Pro synchronizaci s nimi a dalˇs´ımi servery se vyuˇz´ıvá právˇe protokolu ntp. Bez synchronizace serveru a routeru by nebylo moˇzné správnˇe nastavit ˇcasové rozsahy platnosti pˇr´ıstupov´ ych seznam˚ u, proto ho povaˇzuji za jeden z kl´ıˇcov´ ych. Vzhledem k d˚ uleˇzitosti správnˇe nastaveného ˇcasu je vhodné uvést v´ıce ntp zdroj˚ u, se kter´ ymi se bude zaˇr´ızen´ı synchronizovat. 6.3.1

Zapnut´ı sluˇ zby na Cisco zaˇ r´ızen´ı

• Nastaven´ı ˇcasové zóny Router(config)#clock timezone CST +1 • Nastaven´ı letn´ıho ˇcasu Router(config)#clock summer-time CDT recurring • Pˇridán´ı serveru Router(config)#ntp server ntp.nic.cz • Pˇridán´ı serveru Router(config)#ntp server cz.pool.ntp.org • Pˇridán´ı serveru Router(config)#ntp server 0.cz.pool.ntp.org • Pˇridán´ı serveru Router(config)#ntp server 1.cz.pool.ntp.org • Pˇridán´ı serveru Router(config)#ntp server 2.cz.pool.ntp.org 25

6.4

Domain Name System

Sluˇzba dns umoˇzn ˇuje pˇreklad ip adres na doménová jména, která se vyuˇz´ıvaj´ı vˇsude v Internetu. D´ıky této sluˇzbˇe obsaˇzené v zaˇr´ızen´ı je umoˇznˇeno z´ıskávat data nejen ze serveru podle jejich ip adresy, ale i jejich jmen na s´ıti.

Obrázek 3: Jak funguje dns[9]

6.4.1

Konfigurace na Cisco zaˇ r´ızen´ıch

• Pˇridán´ı primárn´ıho dns serveru (OpenDNS) Router(config)#ip name-server 208.67.222.222 • Pˇridán´ı sekundárn´ıho dns serveru (OpenDNS) Router(config)#ip nameserver 208.67.220.220

26

7

Praktick´ aˇ c´ ast

Aplikace má za c´ıl umoˇznit vyuˇcuj´ıc´ım Univerzity Pardubice nastavovat pˇr´ıstupová práva k jednotliv´ ym uˇcebnám a na stanovenou dobu. Samozˇrejmost´ı je ovˇeˇren´ı vyuˇcuj´ıc´ıho pomoc´ı jeho unikátn´ıch pˇr´ıstupov´ ych u ´daj˚ u (pˇredpokládá se provázán´ı aplikace s ovˇeˇrovac´ım databázov´ ym systémem cas7 a Weblogin).

7.1

V´ ybˇ er vhodn´ ych n´ astroj˚ u

Zab´ yval jsem se v´ ybˇerem metod, jak se na Cisco zaˇr´ızen´ı pˇripojit a hlavnˇe jak´ y zvolit postup pro samotnou konfiguraci. Nakonec byla jako nejvhodnˇejˇs´ı zvolena kombinace telnetu, sdm a skriptovac´ıho jazyka tcl. Tato kombinace umoˇzn ˇuje vzdálenˇe kompletn´ı ovládán´ı zaˇr´ızen´ı. Nebyl by proto problém rozˇs´ıˇrit aplikaci o dalˇs´ı moduly, které by poskytovaly funkcionalitu nejen pro pˇr´ıstupové seznamy, nebo vyˇsˇs´ı zabezpeˇcen´ı pomoc´ı ssh. Vzhledem k pˇredpokládanému zaˇclenˇen´ı do systému Portal Univerzity Pardubice jsem zvolil jazyk php 8 , d´ıky kterému je snadné um´ıstˇen´ı aplikace do jiˇz zabˇehlého systému. Dalˇs´ı v´ yhodou v´ ybˇeru této platformy je, ˇze umoˇzn ˇuje ovˇeˇrován´ı uˇzivatel˚ u pomoc´ı centralizovaného autentizaˇcn´ıho systému cas. Tento princip umoˇzn ˇuje uchovávat jedinou databázi uˇzivatel˚ u. Vzdálenˇe se pak z kaˇzdé aplikace dotazuje do této databáze, zda-li je jiˇz uˇzivatel pˇrihláˇsen. D´ıky tomu se nemus´ı do kaˇzdé aplikace pˇrihlaˇsovat znovu. Systém je praktick´ y z d˚ uvodu udrˇzován´ı vˇsech u ´ˇct˚ u na jednom m´ıstˇe a zároveˇ n usnadˇ nuje uˇzivateli práci s ˇcast´ ym pˇrihlaˇsován´ım do r˚ uznorod´ ych aplikac´ı, které v rámci univerzitn´ı s´ıtˇe vyuˇz´ıvá.

7 8

Central Authentication Service PHP: Hypertext Processor

27

7.2

Topologie s´ıtˇ e

Vzhledem k rozlehlosti celé Univerzitn´ı s´ıtˇe zde uvád´ım topologii pˇri vyuˇzit´ı vhodnˇe navrˇzen´ ych vlan˚ u a pˇr´ıstupov´ ych seznam˚ u. Kaˇzdá uˇcebna má vlastn´ı vlan, d´ıky ˇcemuˇz lze snadno identifikovat, kde se nacház´ı. D´ıky tomu, ˇze má kaˇzdá uˇcebna vlastn´ı vlan, je moˇzné je na smˇerovaˇci dle nich samostatnˇe konfigurovat. Pro kaˇzdou uˇcebnu m˚ uˇze naráz bˇeˇzet jin´ y pˇr´ıstupov´ y seznam. M˚ uˇzeme t´ım tedy omezit provoz jedné uˇcebny, aniˇz bychom omezili provoz a v´ yuku v uˇcebnách dalˇs´ıch. Pro administrativn´ı u ´ˇcely byl zvolen rozsah vlan0002 – vlan0099, kde mezi nimi je moˇzné zvolit i samostatnou vlan pro univerzitn´ı knihovnu, posluchárny, kanceláˇre a i koleje. 7.2.1

Uk´ azka zapojen´ı uˇ ceben

Pro ukázku je zde obrázek na dalˇs´ı stranˇe. Kaˇzdá uˇcebna je svedena do vlastn´ıho switche (vlany v pˇr´ıpadˇe pouˇzit´ı vˇetˇs´ıho pˇrep´ınaˇce). Z nˇej vycház´ı trunk linka spojuj´ıc´ı vlany do jedné s t´ım, ˇze se pˇrenáˇs´ı i s informac´ı, z jaké subs´ıtˇe data jsou a v dalˇs´ım pˇrep´ınaˇci se zase rozdˇeluj´ı do správn´ ych vlan˚ u. Vˇsechny pˇrep´ınaˇce jsou svedeny do centráln´ıho prvku, kter´ y je pˇripojen pomoc´ı vysokorychlostn´ı linky (optická vlákna) k centráln´ımu smˇerovaˇci. Ten umoˇzn ˇuje smˇerován´ı dat mezi jednotliv´ ymi vlan okruhy a právˇe na tomto m´ıstˇe se dá filtrovat veˇsker´ y datov´ y provoz.

28

Obrázek 4: Topologie s´ıtˇe — rozlehlá

29

Obrázek 5: Topologie s´ıtˇe — upˇresnˇená 30

7.3

Pˇ ripojen´ı aplikace k routeru

Jelikoˇz aplikován´ı pˇr´ıstupov´ ych seznam˚ u nen´ı moˇzné, aniˇz bychom byli pˇripojeni na smˇerovaˇc, zaˇcnu praktickou ˇca´st popisem právˇe pˇripojen´ı na toto zaˇr´ızen´ı. Z jiˇz popsan´ ych metod jsem zvolil jako prvn´ı tu nejsnazˇs´ı s t´ım, ˇze pˇr´ıpadnˇe je moˇzné aplikaci dále snadno rozˇs´ıˇrit o nˇekter´ y z pokroˇcilejˇs´ıch zp˚ usob˚ u pˇripojen´ı. Aplikoval jsem tedy metodu pˇripojen´ı pomoc´ı protokolu telnet. Aˇc nen´ı zabezpeˇcen, d´ıky vlastn´ı vlan lince mezi smˇerovaˇcem a aplikaˇcn´ım serverem, ˇreˇsen´ı je plnˇe dostaˇcuj´ıc´ı. Data smˇeruj´ıc´ı k routeru jsou chránˇeny právˇe samostatnou vlan linkou.

Obrázek 6: Pr˚ uchod skrz router a rozd´ılné vlan

7.3.1

Pˇ ripojen´ı a odesl´ an´ı dat pomoc´ı sluˇ zby telnet

Nejjednoduˇsˇs´ı pˇripojen´ı php poskytuje pomoc´ı metody fsockopen(adresa, port, error-number, error-string, timeout);, ˇc´ımˇz se vytvoˇr´ı spojen´ı mezi aplikac´ı a vzdálen´ ym serverem. Dále se pomoc´ı metod fputs(fsock-spojen´ı, data) a fgets(fsockspojen´ı, poˇcet-byt˚ u) zas´ılaj´ı a vyzvedávaj´ı data ke vzdálenému hostiteli.

31

private function pripojitTelnet () { $ t h i s −>p r i p o j e n i = fsockopen ( $ t h i s −>host , $ t h i s −>port , $ e r r n o , $ e r r s t r , 2 ) ; i f ( $ t h i s −>p r i p o j e n i ) { $ t h i s −>p r i h l a s i t ( ) ; r e t u r n true ; } else { return false ; } } private function prihlasitTelnet () { i f ( i s s e t ( $ t h i s −>u z i v a t e l ) ) { $ t h i s −>p o s l i P r i k a z ( $ t h i s −>u z i v a t e l ) ; } $ t h i s −>p o s l i P r i k a z ( $ t h i s −>h e s l o r o u t e r u ) ; $ t h i s −>p o s l i P r i k a z ( ’ en ’ ) ; $ t h i s −>p o s l i P r i k a z ( $ t h i s −>h e s l o p r i v i l e g e ) ; r e t u r n TRUE; } private function posliPrikazTelnet ( $prikaz ) { t i m e n a n o s l e e p ( 0 , 5 0 0 0 0 0 0 0 0 ) ; // p o z d rˇz e n´ı , pˇr ed z a s l ´ a n´ım fputs ( $ t h i s −>p r i p o j e n i , $ p r i k a z . ”\ r \n ” ) ; }

Z kódu je patrné, ˇze po pˇripojen´ı na zaˇr´ızen´ı se automaticky provede pˇrihláˇsen´ı aplikace, která nadále jiˇz umoˇzn ˇuje zadávat pˇr´ıkazy potˇrebné k ovlivˇ nován´ı funkc´ı smˇerovaˇce. Pˇred kaˇzd´ ym zas´ılan´ ym pˇr´ıkazem je volána metoda time nanosleep(0, 500000000);, coˇz zapˇr´ıˇcin´ı pozdrˇzen´ı p˚ ul vteˇriny pˇred zaslán´ım pˇr´ıkazu. Toho je vhodné vyuˇz´ıt, jelikoˇz ne vˇsechny pˇr´ıkazy smˇerovaˇc vykonává okamˇzitˇe a tak se na nˇem tvoˇr´ı fronta nevykonan´ ych pˇr´ıkaz˚ u. T´ımto zp˚ usobem tuto frontu“ ˇcásteˇcnˇe eliminu” jeme. Na smˇerovaˇc se v aplikaci nezas´ılá vˇetˇs´ı mnoˇzstv´ı pˇr´ıkaz˚ u, tedy toto drobné zdrˇzen´ı niˇcemu v´ yraznˇe nevad´ı.

32

7.3.2

Pˇ r´ıjem dat ze sluˇ zby telnet

Pro ovˇeˇren´ı správnˇe vykonané sekvence zas´ılan´ ych dat je zde moˇznost si z routeru data stáhnout a zobrazit je. Pokud v sekvenci pˇr´ıkaz˚ u zaslan´ ych pomoc´ı tcl nenastane chyba, zobraz´ı se pouze zopakovan´ y ˇra´dek z tcl, aniˇz by zobrazil cokoliv dalˇs´ıho. Naopak, pokud k chybˇe dojde, zobrazuje se chybová hláˇska, na kterém ˇra´dku nastala chyba. Tohoto lze snadno vyuˇz´ıt pro ovˇeˇrován´ı funkˇcnosti aplikace. /∗ ∗ ∗ Pˇr ijme d a t a z e smˇe rovaˇc e pomoc´ı p r o t o k o l u t e l n e t ∗ @return <s t r i n g > p ˇr´ı c h o z´ı d a t a ∗/ private function prijmiDataTelnet () { $time = time ( ) + 5 ; $ r e s u l t = ”” ; s t r e a m s e t t i m e o u t ( $ t h i s −>p r i p o j e n i , 1 ) ; $radek = ” ” ; f g e t s ( $ t h i s −>p r i p o j e n i , 1 2 8 ) ; while ( ! f e o f ( $ t h i s −>p r i p o j e n i ) ) { $radek = f g e t s ( $ t h i s −>p r i p o j e n i , 1 2 8 ) ; i f ( preg replace ( ”/\−\−More\−\−/ ” , ”\ r \n ” , $radek ) ) { fputs ( $ t h i s −>p r i p o j e n i , ” ” ) ; } $ r e s u l t .= $radek . ”\ r \n ” ; i f ( time ( ) > $time ) { return $result ; } } return $result ; }

33

7.3.3

Pˇ ripojen´ı a odesl´ an´ı dat pomoc´ı sluˇ zby SDM

Sloˇzitˇejˇs´ı variantou pˇrenosu dat mezi serverovou aplikac´ı a smˇerovaˇcem je vyuˇzit´ı metody sdm. Tato metoda má jiˇz alespoˇ n drobné ˇsifrován´ı zas´ılaného hesla. p r i v a t e f u n c t i o n posliPrikazSDM ( $ p r i k a z ) { $ p r i k a z y = array ( ’ ! COMMANDSET VERSION= ”1 . 0 ” ’ . ”\ r \n ” , ’ ! OPTIONS BEGIN ’ . ”\ r \n ” , ’ ! MODE=”0” ’ . ”\ r \n ” , ’ ! OPTIONS END” ’ . ”\ r \n ” , $ p r i k a z . ”\ r \n ” , ’ ! END ’ . ”\ r \n ” , ’ ! COMMANDSET END ’ . ”\ r \n ” ) ; $ v e l i k o s t d a t = $ t h i s −>a r r a y s i z e ( $ p r i k a z y ) + 2 ; fputs ( $ t h i s −>p r i p o j e n i , ’POST / i o s w e b e x e c / commandset HTTP/ 1 . 1 ’ . ”\ r \n ” ) ; fputs ( $ t h i s −>p r i p o j e n i , ’ User−Agent : M o z i l l a / 4 . 0 ( Windows XP 5 . 1 ) Java / 1 . 6 . 0 1 7 ’ . ”\ r \n ” ) ; fputs ( $ t h i s −>p r i p o j e n i , ’ Host : ’ . $ SERVER [ ’SERVER ADDR ’ ] . ”\ r \n ” ) ; fputs ( $ t h i s −>p r i p o j e n i , ’ Accept : t e x t / html , image / g i f , image / jpeg , ∗ ; q =.2 , ∗ / ∗ ; q=.2 ’ . ”\ r \n ” ) ; fputs ( $ t h i s −>p r i p o j e n i , ’ Connection : keep−a l i v e ’ . ”\ r \n ” ) ; i f ( i s s e t ( $ t h i s −>u z i v a t e l ) ) { fputs ( $ t h i s −>p r i p o j e n i , ’ A u t h o r i z a t i o n : B a s i c ’ . base64 encode ( $ t h i s −>u z i v a t e l . ’ : ’ . $ t h i s −>h e s l o r o u t e r u ) . ”\ r \n ” ) ; } else { fputs ( $ t h i s −>p r i p o j e n i , ’ A u t h o r i z a t i o n : B a s i c ’ . base64 encode ( ’ : ’ . $ t h i s −>h e s l o r o u t e r u ) . ”\ r \n ” ) ; } fputs ( $ t h i s −>p r i p o j e n i , ’ Content−type : a p p l i c a t i o n /x−www−form−u r l e n c o d e d ’ . ”\ r \n ” ) ; fputs ( $ t h i s −>p r i p o j e n i , ’ Content−Length : ’ . $ v e l i k o s t d a t . ”\ r \n ” ) ; fputs ( $ t h i s −>p r i p o j e n i , ”\ r \n ” ) ; foreach ( $ p r i k a z y a s $ v a l u e ) { fputs ( $ t h i s −>p r i p o j e n i , $ v a l u e ) ; } fputs ( $ t h i s −>p r i p o j e n i , ”\ r \n ” ) ; }

34

7.3.4

Pˇ r´ıjem dat ze sluˇ zby SDM a ovˇ eˇ ren´ı zpracov´ an´ı

Samotn´ y pˇr´ıjem dat je shodn´ y s verz´ı, která pˇrij´ımá data z telnetu. Komunikuje pouze na jiném portu. Pro kontrolu pˇrij´ıman´ ych dat je pak vyuˇzito metody provedlSePrikazSDM(), která ovˇeˇr´ı pomoc´ı regulárn´ıho v´ yrazu, zda-li nedoˇslo pˇri zpracován´ı skriptu na routeru k chybˇe. /∗ ∗ ∗ Z j i ˇs t ˇe n´ı zda− l i s e v y k o n a l pˇr´ı k a z z a s l a n ý pomoc´ı p r o t o k o l u SDM ∗ @return t r u e : v y k o n a l se , f a l s e : n e v y k o n a l s e ∗/ p r i v a t e f u n c t i o n provedlSePrikazSDM ( ) { i f ( preg match ( ’ /ˆPARSE ERROR= ”[ ˆ 0 ] ”| w h i l e e x e c u t i n g /m’ , $ t h i s −>p r i c h o z i d a t a ) == 0 ) { r e t u r n true ; } return false ; }

7.3.5

Pˇ ripojen´ı a odesl´ an´ı dat pomoc´ı sluˇ zby SSH

Vzhledem k volbˇe php a spoustˇe dostupn´ ych hotov´ ych ˇreˇsen´ı v nˇem, je dostupné i ˇreˇsen´ı pomoc´ı metody ssh. Tato metoda je jiˇz plnˇe ˇsifrována a odbourává tedy pˇr´ıpadnou potˇrebu samostatné virtuáln´ı linky smˇerem od aplikaˇcn´ıho serveru k smˇerovaˇci. Nev´ yhodou je, ˇze tato metoda pˇripojen´ı je umoˇznˇena pouze za pˇredpokladu pouˇzit´ı operaˇcn´ıho systému GNU/Linux na aplikaˇcn´ım serveru, jelikoˇz jinde knihovna poskytuj´ıc´ı ssh v php nen´ı dostupná. Jak nainstalovat a zprovoznit ssh pod Linuxem v php je dostupné na webov´ ych stránkách kevin.vanzonneveld.net, kde autor popisuje instalaci, pˇripojen´ı i samotné zas´ılán´ı pˇr´ıkaz˚ u na vzdálen´ y systém, aˇc ne zrovna Cisco smˇerovaˇc.

35

7.4

Ovˇ eˇ ren´ı uˇ zivatele aplikac´ı

Pro ovˇeˇren´ı uˇzivatele je vyuˇzit jednoduch´ y skript, kter´ y zjist´ı, zda-li je uˇzivatel v seznamu a zda-li se pˇrihlaˇsuje pomoc´ı jeho hesla. Pokud k ovˇeˇren´ı nedojde, je na vyˇsˇs´ı aplikaˇcn´ı u ´rovni incident zaznamenán s u ´daji, podle kter´ ych by ˇsel podezˇrel´ y uˇzivatel dohledat na s´ıti. Pro uchován´ı hesel v bezpeˇc´ı je vyuˇzito dvojité ˇsifry. Dˇr´ıve se vyuˇz´ıval hojnˇe algoritmus md5, kter´ y má ovˇsem bezpeˇcnostn´ı rizika. Pro nˇekteré ˇretˇezce existuje v´ıce hash˚ u. D´ıky tomu se daly povaˇzovat dva r˚ uzné ˇretˇezce za shodné, coˇz je z bezpeˇcnostn´ıho hlediska nepˇr´ıpustné. Proto je zde vyuˇzito novˇejˇs´ıho a silnˇejˇs´ıho algoritmu sha1, kter´ y je pro jistotu doplnˇen o ˇcást, kde je za jeho konec pˇripojen ˇretˇezec z ˇsifrovac´ıho algoritmu md5, ve kterém je uloˇzena délka vlastn´ıho hesla. 7.4.1

Uk´ azka ovˇ eˇ ren´ı uˇ zivatele

Z kódu je patrné, ˇze momentáln´ı verze se dotazuje na uˇzivatele a heslo z konfiguraˇcn´ıho souboru pomoc´ı konstant. Tuto ˇcást kódu jsem pˇrevzal z dˇr´ıvˇejˇs´ıho ˇskoln´ıho projektu, kde byl napojen na Oracle 10g databázi. Nen´ı problém tuto ˇcást dále pˇrizp˚ usobit tak, aby se mohla dotazovat do v´ yˇse zmiˇ novaného centralizovaného autentizaˇcn´ıho systému cas, ˇci jiného databázového systému. /∗ ∗ ∗ Pˇr i h l ´ a ˇs e n´ı u ˇz i v a t e l e a s k r z k o n f i g u r a ˇc n´ı s o u b o r ( b ý v a l o s k r z DB, z b y t e ˇc n é ∗ pro uk´ a zku − t ˇr´ı d a j e p o uˇz i t a z d ˇr´ı v ˇe j ˇs´ı h o ˇs k o l n´ı h o p r o j e k t u , kde b y l a ∗ cel´ a t ˇr´ı d a napojena na O r a c l e DB pomoc´ı DiBi l a y e r u , t e d y j e j e d n o d u c hé ∗ j i o pˇe t na DB p ˇr i p o j i t ) ∗ @param <s t r i n g > $username u ˇz i v a t e l s k é jmé no pˇr i h l aˇs o v a n é h o u ˇz i v a t e l e ∗ @param <s t r i n g > $password h e s l o pˇr i h l aˇs o v a n é h o u ˇz i v a t e l e ∗ @return t r u e : ovˇeˇr en , f a l s e : n e o vˇeˇr en ∗/ p u b l i c f u n c t i o n l o g i n u s e r ( $username , $password ) { $ t h i s −>username = $username ; $ t h i s −>password = sha1 ( $password ) . md5( s t r l e n ( $password ) ) ; i f ( $ t h i s −>username == APPL USERNAME && $ t h i s −>password == APPL PASSWORD) { $ SESSION [ ’ l o g i n ’ ]= true ; $ SESSION [ ’ username ’ ]= $ t h i s −>username ; r e t u r n true ; } else { return false ; } }

36

Zde pro ukázku uvád´ım, jak vypadala p˚ uvodn´ı verze metody s ovˇeˇren´ım skrz databázi a DiBi layer. /∗ ∗ ∗ Pˇr i h l ´ a ˇs e n´ı u ˇz i v a t e l e a o v ˇe ˇr e n´ı s k r z d a t a b ´ azi ∗ @param <s t r i n g > $ u s e r ∗ @param <s t r i n g > $password ∗ @return p ˇr i h l ´ a ˇs e n u ´ s pˇe ˇs nˇe ? ∗/ p u b l i c f u n c t i o n l o g i n u s e r ( $username , $password ) { $ t h i s −>username = $username ; $ t h i s −>password = sha1 ( $password ) . md5( s t r l e n ( $password ) ) ; try { $result = null ; $db = new Oci8 ( ) ; $ r e s u l t = $db−>UserAuth ( $ t h i s −>username , $ t h i s −>password ) ; unset ( $db ) ; i f ( ( $ r e s u l t != n u l l ) && ( $ t h i s −>username == $ r e s u l t [ 0 ] [ ’USERNAME ’ ] && ( $ t h i s −>password == $ r e s u l t [ 0 ] [ ’PASSWORD’ ] ) ) ) { $ SESSION [ ’ l o g i n ’ ]= true ; $ SESSION [ ’ username ’ ]= $ r e s u l t [ 0 ] [ ’USERNAME ’ ] ; $ SESSION [ ’ r o l e ’ ] = $ r e s u l t [ 0 ] [ ’ROLE ’ ] ; r e t u r n true ; } else { return false ; } } c a t c h ( D i b i E x c e p t i o n $e ) { echo g e t c l a s s ( $e ) , ’ : ’ , $e−>getMessage ( ) , ”\n ” ; return false ; } }

37

7.5

Generov´ an´ı doby platnosti

Jako poˇzadavek na aplikaci bylo zadáno, ˇze mus´ı jednotlivé pˇr´ıstupové seznamy nastavovat na pˇredem stanovenou dobu. Pokud by zde toto ˇcasové omezen´ı nebylo, zajisté by se stávalo, ˇze by nˇekdo pˇr´ıstupov´ y seznam po skonˇcen´ı hodiny/p´ısemky nevypnul a omezil by t´ım pˇr´ıpadné dalˇs´ı vyuˇcovac´ı hodiny. V aplikaˇcn´ı ˇca´sti tedy kaˇzd´ y, kdo aplikuje pˇr´ıstupov´ y seznam mus´ı nastavit ˇ ˇcasov´ y interval, na kter´ y seznam aplikuje. Cas se nastavuje v minutách, coˇz je dostateˇcnˇe pˇresná jednotka pro urˇcen´ı doby pro bˇeˇzné pouˇz´ıván´ı, jelikoˇz mezi hodinami jsou pˇrestávky, bˇehem kter´ ych dojde k deaktivaci pˇr´ıstupového seznamu. Pár minut z pˇrestávky, kdy by stále nebyla dostupná ˇca´st s´ıtˇe nikomu vadit nebude, nehledˇe na to, ˇze by nikdo pˇresnˇejˇs´ı ˇcasov´ yu ´daj nechtˇel nastavovat. 7.5.1

Implementace

Uˇzivatel zadá poˇcet minut, po které chce seznam aplikovat. Nelze plánovat seznam na dobu pˇredem, vˇzdy se aplikuje seznam od aktuáln´ıho data na danou dobu. Zobrazen´ y kód ukazuje zpracován´ı ˇcasov´ ych u ´daj˚ u. Pokud by se mˇelo dodˇelat plánován´ı ˇcasu, jednalo by se o posunut´ı hodnoty zacatek o ˇcas, ve kter´ y se má událost zahájit. Problém by ovˇsem mohl nastat na smˇerovaˇci, kde by na tuto zmˇenu nebyly pˇripraveny kontroln´ı mechanismy této aplikace. Ta by se musela ˇcásteˇcnˇe opravit. 7.5.2

Uk´ azka generov´ an´ı ˇ casov´ eho raz´ıtka

Z kódu je patrné, ˇze název této ˇcasové nálepky je vázan´ y na ˇcas, kdy byl vytváˇren, a na samotn´ y pˇr´ıstupov´ y seznam, na kter´ y je aplikován. p r i v a t e f u n c t i o n generujTimeRange ( ) { $ t h i s −>t i m e r a n g e [ ’ z a c a t e k ’ ] = date ( $ t h i s −>t i m e f o r m a t ) ; $ t h i s −>t i m e r a n g e [ ’ konec ’ ] = date ( $ t h i s −>timeformat , $ t h i s −>t i m e r a n g e [ ’ z a c a t e k ’ ] + strtotime ( $ t h i s −>t i m e r a n g e [ ’ doba ’ ] . ” minute ” ) ) ; $ t h i s −>f i n a l n a m e = ’TR ’ . $ t h i s −>a c l n a z e v . ’ ’ . date ( ”YmdHi” ) ; $ t h i s −>f i n a l n a m e s h o r t = $ t h i s −>a c l n a z e v . date ( ”Hi ” ) ; $ t h i s −>f i n a l t i m e r a n g e = array ( ’ time−r a n g e ’ . $ t h i s −>f i n a l n a m e , ’ a b s o l u t e s t a r t ’ . $ t h i s −>t i m e r a n g e [ ’ z a c a t e k ’ ] . ’ end ’ . $ t h i s −>t i m e r a n g e [ ’ konec ’ ] ); }

38

7.5.3

Uk´ azka statick´ eho vr´ acen´ı zkr´ acen´ eho n´ azvu ˇ casov´ eho raz´ıtka

Této metody se vyuˇz´ıvá pro um´ıstˇen´ı zálohy p˚ uvodn´ıho pˇr´ıstupového seznamu, kter´ y byl nastaven na rozhran´ı, na které se bude nové acl aplikovat. Jelikoˇz Cisco smˇerovaˇce maj´ı omezenou délku souboru, musel jsem pouˇz´ıt zkráceného názvu, kde nen´ı celé ˇcasové raz´ıtko, jak bych si pˇrál. /∗ ∗ ∗ S t a t i c k é metoda , k t e r ´ a pˇr i z a v o l ´ a n´ı s parametry ∗ v r a c´ı z k r ´ a c e n ý n ´ a z ev s o u b o r u . ∗ @param $doba Doba p l a t n o s t i ACL ∗ @param <s t r i n g > $ a c l n a z e v N´ a zev pˇr´ıs t u p o v é h o seznamu ∗ @return <s t r i n g > z k r ´ a c e n ý n ´ a z ev ACL pro g e n e r o v ´ a n´ı s o u b o r˚ u ve s mˇe r o v aˇc i ∗/ p u b l i c s t a t i c f u n c t i o n getTimeRangeNameStaticShort ( $doba , $ a c l n a z e v = n u l l ) { $ t i m e r a n g e = new TimeRange ( ) ; $timerange −>setTimeRange ( $doba , $ a c l n a z e v ) ; r e t u r n $timerange −>getTimeRangeNameShort ( ) ; }

39

7.6

Generov´ an´ı ACL pˇ r´ıkaz˚ u

Pro jednoduchou správu seznam˚ u je kaˇzd´ y z nich udrˇzován ve vlastn´ım souboru, kde jeho název je zároveˇ n i název samotného pˇr´ıstupového seznamu. Jejich zpracován´ı spoˇc´ıvá v naˇcten´ı souboru a doplnˇen´ı pˇr´ıkaz˚ u o ˇcasov´ y interval, ve kterém budou platné. 7.6.1

Uk´ azka pˇ rid´ an´ı ˇ casov´ eho raz´ıtka

Pro zpracován´ı je podm´ınkou, aby v pˇr´ıstupovém seznamu (na ˇra´dku s poˇzadovan´ ym filtrem) byl poˇzadavek na nastaven´ı ˇcasového raz´ıtka vˇzdy na konci ˇra´dku, ˇ adek tedy nekonˇc´ı pˇr´ımo coˇz je z principu tvorby acl vlastnˇe i témˇeˇr nutnost´ı. R´ ˇcasovou hodnotou, ale pouze slovy time-range. /∗ ∗ ∗ Zpracov´ a n´ı pˇr´ıs t u p o v é h o seznamu a d o p l nˇe n´ı o ˇc a s o vé r a z´ı t k o ∗/ p r i v a t e f u n c t i o n parseACL ( ) { foreach ( $ t h i s −> a c l l i s t a s $row ) { i f ( strpos ( $row , ’ time−r a n g e ’ ) ) { $row .= ’ ’ . $ t h i s −>t i m e r a n g e n a z e v ; } $ t h i s −>f i n a l a c l [ ] = $row ; } }

7.6.2

Uk´ azka navr´ acen´ı jiˇ z pˇ ripraven´ eho ACL

Po zpracován´ı jsou vˇsechny pˇr´ıstupové seznamy udrˇzovány v lokáln´ı pamˇeti tˇr´ıdy, odkud je moˇzné pozdˇeji seznamy z pole vyzvednout a pˇredat je pro zpracován´ı. /∗ ∗ ∗ Vrac´ı o bsa h d e f i n o v a né h o pˇr´ıs t u p o v é h o seznamu . ∗ @param <s t r i n g > $ a c l n a z e v N´ a zev pˇr´ıs t u p o v é h o seznamu ( n ´ a z ev s o u b o r u ) ∗ @return <array> Pole o b s a h u j´ı c´ı pˇr´ı s t u p o v ý seznam (ACL) , pokud j e zad´ an ∗ nezn´ a mý n´ a zev , v r a c´ı n u l l . ∗/ p u b l i c f u n c t i o n getACL ( $ a c l n a z e v ) { i f ( i s s e t ( $ t h i s −> a c l l i s t s [ $ a c l n a z e v ] ) ) { r e t u r n $ t h i s −> a c l l i s t s [ $ a c l n a z e v ] ; } return null ; }

40

7.6.3

Uk´ azka navr´ acen´ı pole seznam˚ u ACL

Po zpracován´ı acl do pole (naˇcten´ım soubor˚ u) je nutné zajistit pˇredán´ı jejich názv˚ u do aplikaˇcn´ı ˇcásti, kde se pro uˇzivatele vygeneruje seznam dostupn´ ych pˇr´ıstupov´ ych seznam˚ u. /∗ ∗ ∗ Vrac´ı seznam vˇs e c h pˇr´ı s t u p o v ý c h seznam˚ u , k t e r é j s o u d o s t u p né . ∗ @return <array> p o l e o b s a h u j´ı c´ı seznam pˇr´ı s t u p o v ý c h seznam˚ u, ∗ pokud ˇz ´ a dný seznam nen´ı , v r a c´ı p r a ´ z d né p o l e . ∗/ p u b l i c f u n c t i o n getACLNames ( ) { $nazvy = array ( ) ; i f ( $ t h i s −> a c l l i s t s != n u l l ) { foreach ( $ t h i s −> a c l l i s t s a s $key => $ v a l u e ) { $nazvy [ ] = $key ; } r e t u r n $nazvy ; } else { r e t u r n array ( n u l l ) ; } }

41

7.7

Generov´ an´ı TCL pˇ r´ıkaz˚ u

Pokud jiˇz máme vygenerován pˇr´ıstupov´ y seznam, ˇcasov´ y interval platnosti seznamu a rozhran´ı (vlan), na kterém bude seznam aplikován, je potˇrebné vytvoˇrit v´ ysledné pˇr´ıkazy, pomoc´ı kter´ ych se smˇerovaˇc nastav´ı. Pro jeho nastaven´ı se vyuˇz´ıvá právˇe jazyka tcl. 7.7.1

Tvorba v´ ysledn´ eho seznamu TCL pˇ r´ıkaz˚ u

/∗ ∗ ∗ V y g e n e r u j e v ý s l e d n é TCL, k t e r é u s k l a d n´ı v l o k ´ a l n´ı promˇenné ∗/ p r i v a t e f u n c t i o n generujVysledneTCL ( ) { foreach ( $ t h i s −>t c l s a s $ t c l ) { foreach ( $ t c l a s $ p r i k a z y ) { $ t h i s −>finalTCL .= ’ i o s c o n f i g ’ ; foreach ( $ p r i k a z y a s $ p r i k a z ) { $ t h i s −>finalTCL .= ’ ” ’ . $ p r i k a z . ’ ” ’ ; } $ t h i s −>finalTCL .= ”\ r \n ” ; } } }

V testovac´ıch reˇzimech pˇri v´ yvoji aplikace jsem mˇel v acl pouze pár pˇr´ıkaz˚ u, které nastavovaly pˇr´ıstupové seznamy. S t´ım problém nebyl. Bohuˇzel pˇri ˇreˇsen´ı fináln´ıch pˇr´ıstupov´ ych seznam˚ u, které d´ıky tomu, ˇze mus´ı b´ yt zachovány poskytované sluˇzby jako dns, dhcp, ntp a dalˇs´ı, cel´ y pˇr´ıstupov´ y seznam rázem nabobtnává a stává se delˇs´ım. Zde jsem narazil na dalˇs´ı omezen´ı Cisco zaˇr´ızen´ı. Délka ˇra´dku, kter´ y obsahuje tcl pˇr´ıkaz, je omezena na nˇejakou velmi malou hodnotu (odhaduji hodnotu 255 znak˚ u), coˇz je nemyslitelnˇe málo, vzhledem k tomu, ˇze se cel´ y pˇr´ıkaz mus´ı zaslat na jednom ˇrádku. T´ımto omezen´ım mi je vlastnˇe znemoˇznˇeno zadáván´ı celého acl, dle mnou pˇredpokládaného systému. Do této malé hodnoty se se vˇsemi pravidly pˇr´ıstupového seznamu nemohu vej´ıt. ˇ sen´ı tohoto problému by bylo nejsp´ıˇse jediné. Daly by se zas´ılat pˇr´ımo Reˇ konfiguraˇcn´ı pˇr´ıkazy, jako by je psal sám uˇzivatel do Cisco ios konzole. Problém tohoto ˇreˇsen´ı je, pokud se nˇekde v pr˚ ubˇehu objev´ı chyba, smˇerovaˇc z˚ ustane nastaven ˇca´steˇcnˇe, coˇz zp˚ usob´ı nekonzistenci dat v konfiguraci zaˇr´ızen´ı. M˚ uˇze doj´ıt k zastaven´ı“ bˇehu v nespecifikovaném stavu, coˇz je neˇza´douc´ı. ”

42

7.8

Zabezpeˇ cen´ı chodu samotn´ eho smˇ erovaˇ ce

Z d˚ uvodu, ˇze by mohl aplikaˇcn´ı server vypadnout, mus´ı smˇerovaˇc obsahovat samoobnovovac´ı funkce. Tyto funkce zajist´ı v pˇr´ıpadˇe, ˇze aplikace aktivuje nˇejak´ y pˇr´ıstupov´ y profil, zálohu p˚ uvodn´ıho profilu do souboru um´ıstˇeného pˇr´ımo na smˇerovaˇci. Dále zajist´ı, ˇze po uplynut´ı doby platnosti profilu obnov´ı p˚ uvodn´ı nastaven´ı daného portu (z dˇr´ıve vytvoˇreného souboru). Jak je vidˇet, pokud by router neobsahoval tyto samoobnovovac´ı funkce, mohla by nastat situace, kdy by pˇri v´ ypadku aplikaˇcn´ıho serveru jiˇz nedoˇslo k navrácen´ı smˇerovaˇce do p˚ uvodn´ı podoby. T´ım by mohlo doj´ıt k zablokován´ı nˇekteré z uˇceben v nespecifikovaném stavu (dle pravidel nastaven´ ych v aktivovaném pˇr´ıstupovém seznamu a pravidel definovan´ ych jako standardn´ı na smˇerovaˇci). Zde mi zaˇcal vyvstávat problém a zaˇcal jsem naráˇzet jiˇz na samotné hranice pouˇzit´ı, do té doby velice vhodného protokolu sdm. Následnˇe jsem byl nucen ho zmˇenit. Vˇsechny jiˇz napsané kusy kódu jsou zachovány, jelikoˇz jsou dobˇre pouˇzitelné, ovˇsem na omezenˇejˇs´ı programové vyuˇzit´ı. Protokol sdm totiˇz neumoˇzn ˇuje zavolán´ı reˇzimu tclsh na smˇerovaˇci, ˇc´ımˇz mi neumoˇzn ˇuje spuˇstˇen´ı kontroln´ıho skriptu. Tento reˇzim je jedin´ y, kter´ y umoˇzn ˇuje zapnout lokáln´ı proceduru nahranou pˇr´ımo v zaˇr´ızen´ı s poˇzadovan´ ymi parametry. Volán´ı funkce pˇr´ımo ve smˇerovaˇci je ned´ılnou souˇca´st´ı zachován´ı konzistence nastaven´ı, jak jsem jiˇz popsal v´ yˇse, smˇerovaˇc mus´ı dokázat fungovat samostatnˇe, proto nen´ı moˇzné um´ıstit tuto tcl proceduru jinam. Jako parametry jsou pˇredávány doba, ve které se má aktivovat obnoven´ı nastaven´ı p˚ uvodn´ıch parametr˚ u (p˚ uvodn´ı acl) portu, vlan (port na kterém je profil aktivován), a název souboru, do kterého se p˚ uvodn´ı konfigurace portu ukládá. Zde pro ukázku uvád´ım zjednoduˇsenou verzi procedury: proc f i n a l { i n t e r f a c e f i l e n a m e doba } { set x ”show run i n t e r f a c e $ i n t e r f a c e | i n c l u d e i n t e r f a c e | a c c es s− g ro up | end ” lappend r e s [ exec $x ] set m y f i l e i d [ open ” $ f i l e n a m e ” w+] foreach o u t s $ r e s { puts $ m y f i l e i d $ o u t s } close $ m y f i l e i d i o s c o n f i g ”kron p o l i c y − l i s t $ f i l e n a m e ” ” c l i copy $ f i l e n a m e r u n n i n g − c o n f i g ” ” c l i d e l e t e $ f i l e n a m e ” i o s c o n f i g ”kron o c c u r r e n c e $ f i l e n a m e a t $doba o n e s h o t ” ”policy−list $filename ” }

43

Jak je vidˇet, jedná se o pár jednoduch´ ych pˇr´ıkaz˚ u, jejichˇz zprovoznˇen´ı pˇresto zabralo nemalou ˇca´st doby. Kaˇzd´ y ˇrádek m˚ uˇze na smˇerovaˇci zahlásit chybu, aniˇz by zobrazil ˇra´dek, na kterém skript zkolaboval. Celkové ladˇen´ı tcl je v podstatˇe vˇec témˇeˇr nemoˇzná, proto napsat i nejjednoduˇsˇs´ı skript zabere ˇra´dovˇe nˇekolik hodin. Toto jiˇz nepovaˇzuji za triviáln´ı tcl skript. Z tohoto ukázkového kódu teprve vycház´ı v´ ysledn´ y s oˇsetˇren´ım nˇekter´ ych v´ yjimek, které za bˇehu mohou vyvstávat. Z d˚ uvodu omezen´ı sdm protokolu jsem se ve v´ yvoji vrátil zpˇet k protokolu telnet a následnˇe jsem zaˇcal s implementac´ı protokolu ssh. Zabezpeˇcen´ y protokol je pro mne bohuˇzel nepouˇziteln´ y, jelikoˇz jedin´ y funkˇcn´ı hotov´ y php modul je dostupn´ y pouze pod operaˇcn´ım systémem Linux, kter´ y neovládám na dostateˇcné u ´rovni, abych zprovoznil vˇse potˇrebné. V rámci této práce jsem si nainstaloval ˇcist´ y systém Ubuntu 10.04 LTS, do nˇej dle návodu nainstaloval Apache, php a ostatn´ı nutné moduly a v rámci nˇekolika hodin i zprovoznil ssh v php. Celkové ladˇen´ı a práce pod OS Linux pro mne byla zcela nová zkuˇsenost. Následnˇe jsem byl nucen zprovoznˇen´ı ssh pro nároˇcnost a pˇr´ıpadné nedostatky v mé implementaci zavrhnout. ssh spojen´ı by mˇelo b´ yt ˇca´steˇcnˇe implementované, ovˇsem ne tak pouˇzitelné, jako jiˇz dˇr´ıve pˇripravené metody spojen´ı sdm a telnet. Pod OS Windows jsem dlouho marnˇe shánˇel a snaˇzil ssh oˇzivit, vˇsechny pokusy vˇsak byly ne zcela zdaˇrilé, nebo bez oˇcekávaného v´ ysledku. Aktuáln´ı verze této práce tedy funguje ve finále pouze s protokolem telnet a sdm aˇz do ˇca´sti, kdy by se mˇel spustit mechanismus pro navracen´ı p˚ uvodn´ı konfigurace na rozhran´ı.

44

8

Z´ avˇ er

V rámci zv´ yˇsen´ı bezpeˇcnosti by bylo vhodné vyuˇz´ıt moˇznosti funkce routeru nastavit pro kaˇzd´ y pˇr´ıkaz zvláˇstn´ı privilege level, kde by se nastavila niˇzˇs´ı hodnota funkc´ım pro tvorbu acl a konfiguraci vlan˚ u. Vytvoˇren´ım uˇzivatele s t´ımto privilege levelem by se pak dosáhlo toho, ˇze by témˇeˇr nikdo nemohl zneuˇz´ıt pravomoc´ı uˇzivatele k jin´ ym, neˇz dan´ ym u ´ˇcel˚ um. Nebezpeˇc´ı by mohlo nastat, pokud by u ´toˇcn´ık narazil na slabinu v php kódu, ˇci odchytil pakety jdouc´ı z aplikace k routeru, nesouc´ı pˇrihlaˇsovac´ı u ´daje. V tomto pˇr´ıpadˇe by pˇri z´ıskán´ı pˇr´ıstupu do routeru u ´toˇcn´ık pˇrevzal veˇskerou kontrolu nad cel´ ym zaˇr´ızen´ım, coˇz je neˇza´douc´ı. D´ıky tomu by mˇel pˇr´ıstup do centráln´ıho prvku s´ıtˇe a mohl tak v podstatˇe pˇrevz´ıt nad s´ıt´ı kontrolu. ˇ sen´ım tohoto problému by bylo um´ıstit aplikaˇcn´ı server a vlastn´ı smˇerovaˇc Reˇ na takovou ˇca´st s´ıtˇe, kam by nemˇel u ´toˇcn´ık moˇznost se dostat. Jedn´ım z ˇreˇsen´ı by bylo oddˇelit smˇerovaˇc pomoc´ı dvou rozhran´ı, s jedn´ım konfiguraˇcn´ım na samostatné vlanˇe k routeru a druh´ ym rozhran´ım, pˇres které by se pˇripojovali uˇzivatelé na aplikaˇcn´ı server. T´ım by se zamezilo moˇznosti, ˇze by se kdokoliv mohl dostat k dat˚ um smˇeˇruj´ıc´ım na router. Toto ˇreˇsen´ı je naznaˇceno i v pr˚ ubˇehu práce. V práci jsem nakonec neimplementoval vˇse, co jsem mˇel v plánu. Bohuˇzel jej´ı nároˇcnost, jak ˇcasová, tak na znalost programovac´ıch a s´ıt’ov´ ych technik je znaˇcná a moje dovednosti, i pˇres veˇskerou snahu, omezené. V aktuáln´ı fázi je moˇzné práci vyuˇz´ıt pro aktivaci pˇr´ıstupov´ ych seznam˚ u a za pomoci protokolu telnet (omezenˇe i sdm protokolu) vzdálenˇe nakonfigurovat smˇerovaˇc. Ten si následnˇe sám ohl´ıdá vˇsechny náleˇzitosti pro pˇr´ıpad, ˇze by doˇslo k v´ ypadku aplikaˇcn´ıho serveru, nebo ˇcásti s´ıtˇe (smˇerovaˇc z˚ ustává v konzistentn´ım stavu pro funkˇcnost s´ıtˇe). Zpracován´ım této práce jsem si odnesl nesˇcetné mnoˇzstv´ı poznatk˚ u o moˇznostech pokroˇcil´ ych technik konfigurace smˇerovaˇc˚ u, implementace r˚ uzn´ ych kód˚ u v php o kter´ ych jsem do této práce nemˇel ponˇet´ı, ˇze php v˚ ubec umoˇzn ˇuje. Celkovˇe jsem si rozˇs´ıˇril znalost programovac´ıch technik (oop programován´ı v php), nauˇcil se podrobnˇeji jak funguj´ı nˇekteré protokoly (telnet, sdm, ssh), které jsem potˇreboval nastudovat pro implementaci a také z´ıskal nˇejaké nové zkuˇsenosti z prostˇred´ı systému Linux.

45

Reference ˇ [1] BOUSKA, P.: Cisco IOS 5 - komunikace se switchem — SAMURAJ-cz.com. 16. 05. 2007, [Online; cit. 2010-04-12]. URL [2] Cisco Systems, I.: Cisco IOS Scripting with Tcl — Cisco Systems. July 2003, [Online; cit. 2010-04-10]. URL [3] Cisco Systems, I.: Cisco IOS Configuration Fundamentals Configuration Guide, Release 12.4. c1992-2010, [Online; cit. 2010-02-10]. URL [4] Cisco Systems, I.: Cisco IOS Scripting with Tcl — Cisco Systems. c19922010, [Online; cit. 2010-04-12]. URL [5] Cisco Systems, I.: Command Scheduler [Cisco IOS Software Releases 12.3 Mainline] — Cisco Systems. c1992-2010, [Online; cit. 2010-05-01]. URL [6] Cisco Systems, I.: Configuring DNS on Cisco Routers [IP Application Services] — Cisco Systems. c1992-2010, [Online; cit. 2010-05-01]. URL [7] Cisco Systems, I.: Configuring IP Access Lists — Cisco Systems. c1992-2010, [Online; cit. 2010-04-09]. URL [8] Hubicka, J.: TCL — Skolicka. c1995, [Online; cit. 2010-04-10]. URL

46

´ O.: DNSSEC ˇca´st prvn´ı aneb je potˇreba zaˇc´ıt od p´ıky. 8. 12. 2008, [9] SURY, [Online; cit. 2010-05-06]. URL [10] Wikipedia: Cisco IOS — Wikipedia, The Free Encyclopedia. 2010, [Online; accessed 8-April-2010]. URL [11] Wikipedia: Simple Network Management Protocol — Wikipedia, The Free Encyclopedia. 2010, [Online; accessed 8-April-2010]. URL [12] Wikipedie: Cisco IOS — Wikipedie: Otevˇrená encyklopedie. 2010, [Online; navˇst´ıveno 7. 04. 2010]. URL

47

Pˇ r´ılohy Pˇr´ılohou k této práci je dvd médium, které obsahuje praktickou ˇcást této práce, dokumentaci a tuto textovou ˇcást v elektronické podobˇe.

48

Univerzita Pardubice Fakulta elektrotechniky a informatiky

Recommend Documents