Instituto Superior de Engenharia de Lisboa
ADEETC
Tecnologias Avançadas de Redes
Enunciado da 2ª parte do trabalho (semestre de vera o 2011/2012)
Data limite de entrega do relatório do trabalho: 8 de Julho de 2012
Objectivo
Consolidar e integrar os conhecimentos adquiridos ao longo das várias disciplinas de Redes de Comunicação de Dados anteriores, aprofundando-os com a abordagem de novos tópicos, nomeadamente:
IPv6
SNMP
Access lists
NAT
Pretende-se dar liberdade aos alunos para, utilizando os equipamentos disponíveis, explorarem na prática as tecnologias neles disponíveis de forma a delas tirarem o melhor proveito.
É pressuposto que os conhecimentos de Redes, adquiridos nas disciplinas anteriores, lhes permitirão evoluir nas tecnologias estudadas nesta disciplina.
Cada grupo implementará uma rede baseada no seguinte equipamento:
Router 1721 ou 1841
Switch 2950
Estrutura nível 1 e 2 pretendida - Switch
Para suporte desta estrutura de rede, a porta do router que tem as VLANs configuradas (em sub-interfaces) deve ser ligada em modo trunk ao switch, que disponibilizará as VLANs em portas de acesso (não etiquetadas).
O switch deve ter a seguinte parametrização base:
Porta 1 – VLAN 902 (Laboratório), liga à rede do laboratório (obtendo endereços da gama 10.62.75.0/24)
Porta 2 – VLAN 902, ligação ao router (E0 ou Fa0/0)
Portas 3 a 4 – VLAN 902 – Para ligação local de máquinas à rede do laboratório
Portas 5 a 8 – VLAN 903 (Interna)
Portas 9 a 12 – VLAN 904 (Privada)
Portas 13 a 18 e 20 a 22 – Com a configuração por omissão e desactivadas (shutdown administrativo)
Porta 19 – Em “mirroring” do tráfego que entra e sai nas portas 1 e 24
Porta 24 – Trunk IEEE802.1Q para o router (Fa0 ou Fa0/1) para o suporte das VLANs
Rede Lab.
ISEL/IPL
PC na rede Interna PC na rede Privada PC na rede do Lab. Switch
Router
Preparação:
Estrutura nível 3 pretendida - Router
As duas portas Ethernet do router (Ethernet 0 e FastEthernet 0 no caso do modelo 1721 e FastEthernet0/0 e FastEthernet0/1 no caso do modelo 1841) serão ligadas ao switch.
A primeira porta servirá somente para a ligação à rede do laboratório, suportada no switch pela VLAN902, nesta porta o router obterá a configuração IPv4 através de DHCP e de IPv6 baseando-se no mecanismo nativo de auto-configuração (usando ICMPv6)
A segunda porta física do router transportará num trunk IEEE802.1q as VLAN adicionais criadas pelo router em sub-interfaces.
A sub-interface associada à VLAN903 deverá ser configurada com a metade superior do bloco atribuído ao grupo (ver tabela anexa) e com o endereço indicado na mesma tabela, este endereçamento apesar de privado segundo o RFC1918, é encaminhável dentro de toda a rede do IPL/ISEL bastando para tal a correcta configuração dos protocolos de encaminhamento (não necessita de NAT).
Nesta rede os clientes serão configurados por DHCP devendo o router encaminhar todos os pedidos de DHCP que lhe cheguem a esta interface, para os servidores centrais de DHCP do IPL, indicados em anexo.
A sub-interface associada à VLAN904 será configurada com o endereço 172.16.0.1/18 devendo as máquinas ligadas a esta rede obterem a configuração IP através de um servidor DHCP a correr localmente no router.
Só será possível obter conectividade para o exterior desta rede com recurso a NAT que terá de ser configurado no router segundo as regras indicadas adiante.
A conectividade IPv6 das VLAN903 e VLAN904 será suportada por auto-configuração fornecida pelo router, devendo para tal o mesmo ser configurado em cada uma das sub-interfaces associadas com um endereço cuja componente host seja 0:0:0:1 (64bit) e a componente prefixo do bloco 2001:690:2008:CFXX::/62 em que os 6 bit de maior peso de XX são o número do grupo e os restantes 2 bit serão usados por cada grupo para endereçar cada uma das redes que criar.
De salientar que para a auto-configuração funcionar as redes IPv6 têm de ter o prefixo /64
Deve ser desligada a geração de mensagens Router Advertisement na porta que liga à rede do laboratório.
As máquinas das redes Interna e Privada devem obter automaticamente a informação de quais os endereços dos servidores de DNS que atendem pedidos sobre transporte IPv6/UDP (ver anexo).
Uma máquina nas redes interna e privada devem conseguir obter configuração IP, incluindo de DNS e comunicar com qualquer outra máquina noutra rede qualquer.
Protocolos de encaminhamento - OSPF
Para estabelecimento de relação com a rede do laboratório para anúncio e recepção de rotas, deve o
router ser parametrizado para pertencer à área 75, usando autenticação MD5, palavra-chave
“mesmosimples” com o número de série 20 e a referência para cálculo dos custos de 1Gbit/s.
Só as redes incluídas no bloco 10.0.0.0/8 devem ser anunciadas e só as redes que necessitarem devem estar disponíveis para estabelecer adjacências (interfaces OSPF passivas).
Como é necessário garantir que o router-id é único em toda o sistema autónomo que usa OSPF e os routers terão alguns endereços internos iguais, recomenda-se que para os processos de OSPFv2 (IPv4) e OSPFv3 (IPv6) seja forçado o valor do router-id para o valor do endereço IP que o router tem na sub-interface associada à VLAN903.
Não deve ser utilizado nenhum comando “network” dentro do contexto “router ospf X”, em alternativa a associação de cada interface ao OSPF deve ser realizado com recurso ao comando “ip ospf X área Y” aplicada nas interfaces convenientes.
O OSPFv3 deverá ser configurado como estando todas a interfaces na área 75 e sem qualquer autenticação das comunicações (ainda não suportada em todos os routers / IOSs da Cisco).
Nenhuma das interfaces internas do router deve estar disponível para o estabelecimento de adjacências OSPFv3, devendo para tal ser suprimido o envio de mensagens Hello nestas, da forma que for considerada mais eficiente/consistente.
Preparação:
Wikipedia – Open Shortest Path First Cisco OSPF Design Guide
Conversão de endereços – NAT
Como as máquinas que se encontrem na VLAN904 não terão conectividade com as restantes redes do campus pois os seus endereços não são aceites como válidos pela restante infra-estrutura, para conseguirem comunicar com o exterior será necessário o mapeamento destes recorrendo a NAT/PAT sobre endereços válidos, devendo para tal ser usada a metade inferior do bloco atribuído de IPv4 (/28) O comportamento pretendido para o NAT é:
Todas as comunicações destinadas à Internet e que sejam do protocolo ICMP, tenham portos destino TCP 80, 443, 21 ou 1863 ou portos UDP destino 53, 123; devem usar como endereço pós-NAT o 1º endereço do bloco, em modo overload.
Todas as restantes comunicações para as redes exteriores devem usar como endereço pós-NAT um do pool contendo os restantes 7 endereços, em modo NAT dinâmico 1:1, sem overload. Com recurso a access-lists deve ser garantido que seja barrado todo o trafego da VLAN904 que tente sair para as redes externas sem que tenha sofrido NAT.
Preparação:
Gestão remota – SNMP e TELNET
Deve ser possível gerir o router e switch remotamente (via TELNET ou SNMP)
O switch deve estar com a interface IP do plano de gestão devidamente configurada com o menor IP útil atribuível à VLAN 903.
A gestão do router poderá ser realizada através do acesso a qualquer uma das interfaces acessíveis, recomenda-se que por uma questão de estabilidade seja usado o endereço da sub-interface associada à VLAN903.
Os acessos SNMP devem ser permitidos nos moldes seguintes:
A comunidade “lerescrever” deve permitir o acesso de leitura e escrita, mas somente a partir da VLAN904;
A comunidade “sointerfaces” deve permitir apenas o acesso de leitura a partir de qualquer rede mas somente aos ramos da MIB: .iso.org.dod.internet.mgmt.mib-2.system.sysUpTime (.1.3.6.1.2.1.1.3.0) e .iso.org.dod.internet.mgmt.mib-2.interfaces (.1.3.6.1.2.1.2), devendo ser negada a listagem dos endereços MAC associados às interfaces.
Sugere-se a realização de testes com a ferramenta Getif para confirmação do cumprimento dos requisitos e interacção SNMP em geral.
Só deve ser permitido o acesso TELNET aos equipamentos a partir das VLAN902, VLAN903 e VLAN904 (se facilitar, durante o desenvolvimento do trabalho esta validação poderá ser temporariamente desactivada para permitir o acesso a partir da rede sem fios).
Preparação:
Relatório e discussão do trabalho
O relatório do trabalho deve ser preciso e conciso, devendo incluir, para além da descrição das soluções por que optaram para atingirem os objectivos propostos, a forma como foram implementadas, quais os testes utilizados para validarem as respectivas soluções e quais os resultados obtidos.
Os alunos na discussão final devem conseguir justificar todas as opções tomadas e realizar as alterações à configuração que lhe forem pedidas no momento.
Notas
Apoio à realização dos trabalhos
Antes de iniciar o trabalho deve informar o docente, dos nomes e números dos elementos do grupo (três no máximo), de modo a que seja dada a autorização de acesso ao laboratório e seja feita a distribuição de blocos de endereços a usar no trabalho (atribuição do número de grupo – ver anexo).
Para orientação e esclarecimento de dúvidas dos pontos obrigatórios e adicionais do trabalho deve ser consultado o docente da sua turma:
o João Viegas (jviegas@net.ipl.pt)
o Pedro Ribeiro (pribeiro@deetc.isel.ipl.pt)
Local de realização dos trabalhos
Deve ser usado, como local para a realização dos trabalhos, o laboratório de Redes (Lab. 1.2).
Só deve permanecer no laboratório enquanto estiver a realizar o trabalho da UC.
Manipulação dos equipamentos
Os alunos devem assumir a confiança que neles é depositada ao lhes serem confiados equipamentos de custo bastante elevado e cuidarem para que nada lhes aconteça, tomando cuidado na manipulação e instalação dos mesmos.
Verifique sempre se o material que lhe é entregue, quando da requisição, é o que pediu e se está em boas condições. Caso detecte alguma anomalia contacte de imediato a funcionária e o seu docente.
Especial atenção deve ser dada à ligação dos routers e dos switches que, por possuírem portas RS232 (consola) e Ethernet com conectores idênticos, podem por ligação incorrecta sofrer danos elevados. Sugere-se que, para evitar este erro frequente, não seja desligado a cabo série RS232 de consola dos equipamentos.
Cuidado com o tipo de cabo UTP (cruzado ou directo) utilizado para interligar o router à tomada da parede (na outra ponta tem um switch) e para ligar o router ao SW2950.
Não se aceitará o argumento da indisponibilidade de equipamentos para prolongamento de prazos.
Disponibilidade dos equipamentos
Tenha em atenção que em breve os alunos de outras disciplinas da área de redes irão também dar início aos seus trabalhos finais pelo que a disponibilidade dos routers e dos switches irá ser menor. No final do prazo a pressão sobre os equipamentos disponíveis será elevada, assim como sobre os postos de trabalho no laboratório pelo que, quanto mais depressa executar o trabalho, menos aborrecimentos terá com a disponibilidade do equipamento e posto de trabalho
Bibliografia
Para a preparação deste trabalho prático deve consultar, entre outra, a seguinte bibliografia (os livros existem na biblioteca do ISEL) ou em PDF no caso dos manuais Cisco:
[1] “Joe Habraken, Pratical Cisco Routers, QUE, 1999”;
[2] “Henry Benjamim, CCNP Practical Studies: Routing, Cisco Press, Abril 2002”; [3] “Sam Halabi, OSPF Design Guide, Cisco Systems, April, 1996”;
[4] “James Boney, Cisco IOS in a Nutshell, O’Reilly, 2002”; [5] “Cisco 1700 Series Router Software Configuration Guide”. [6] “Catalyst 2950 Desktop Switch Software Configuration Guide”. [7] “Jeff Sedayao, Cisco IOS Access Lists, O'Reilly”;
Para além das anteriores referências existem na biblioteca do ISEL muitos outros livros sobre redes que o podem ajudar e que deve consultar.
Anexo
Endereços IPv4 a utilizar no trabalho por cada grupo Grupo
Endereço exterior (Rede 10.62.75.0/24) Endereço interior do router (bloco /28)
1 DHCP 10.62.74.14 2 DHCP 10.62.74.30 3 DHCP 10.62.74.46 4 DHCP 10.62.74.62 5 DHCP 10.62.74.78 6 DHCP 10.62.74.94 7 DHCP 10.62.74.110 8 DHCP 10.62.74.126 9 DHCP 10.62.74.142 10 DHCP 10.62.74.158 11 DHCP 10.62.74.174 12 DHCP 10.62.74.190 13 DHCP 10.62.74.206 14 DHCP 10.62.74.222 15 DHCP 10.62.74.238 16 DHCP 10.62.74.254 17 DHCP 10.62.202.14 18 DHCP 10.62.202.30 19 DHCP 10.62.202.46 20 DHCP 10.62.202.62 21 DHCP 10.62.202.78 22 DHCP 10.62.202.94 23 DHCP 10.62.202.110 24 DHCP 10.62.202.126 25 DHCP 10.62.202.142 26 DHCP 10.62.202.158 27 DHCP 10.62.202.174 28 DHCP 10.62.202.190 29 DHCP 10.62.202.206 30 DHCP 10.62.202.222
40 DHCP 10.62.203.126 41 DHCP 10.62.203.142 42 DHCP 10.62.203.158 43 DHCP 10.62.203.174 44 DHCP 10.62.203.190 45 DHCP 10.62.203.206 46 DHCP 10.62.203.222 47 DHCP 10.62.203.238 48 DHCP 10.62.203.254 Configuração OSPFv2/OSPFv3 Área 75 Nº de série de chave 20
Password mesmosimples (IPv6 não usa)
Tipo de autenticação MD5 (IPv6 não usa)
Referência para Custos 1000 Mbit/s
DNS Resolvers IPv4 IPv6 193.137.220.20 2001:690:2008::100:1401 193.137.220.19 2001:690:2008::101:1401 193.137.220.18 2001:690:2008::100:1402 Servidores de DHCPv4 193.137.220.2 193.137.220.6
