OrgPad logo

2 PSI

Created by Šimon Drábek

2 PSI

Základní Pojmy

Topologie sítí

image

image

Stare zdroje

Prvak:

https://orgpad.info/s/p24r_PdphSF?s=p24r_PdphSF

Druhak

https://orgpad.info/s/OB2WrleVkSX?s=OB2WrleVkSX
Tretak

https://orgpad.info/s/5GVNY84rhsF?s=5GVNY84rhsF

image

LAN

WAN

Zařízení v LAN

MAC adresa ↔

Struktura MAC adresy

MAC adresa je obvykle reprezentována ve tvaru šestice dvojic hexadecimálních znaků, oddělených dvojtečkami nebo pomlčkami:

00:1A:2B:3C:4D:5E

Rozdělení MAC adresy

MAC-Address

  1. OUI (Organizationally Unique Identifier):
    • prvních 24 bitů (první tři byty/oktety) označuje výrobce zařízení
    • příklad: 00:1A:2B může označovat zařízení od společnosti Cisco
  2. NIC (Network Interface Controller specific):
    • druhých 24 bitů (poslední tři byty/oktety) identifikuje konkrétní zařízení vyrobené výrobcem
    • přiděluje výrobce
    • tato část je jedinečná pro každé zařízení v rámci výrobce

Jak zjistím výrobce síťového zařízení:

https://macaddress.io/

https://www.wireshark.org/tools/oui-lookup.html

www.macvendors.com

Zařízení v WAN

IP adresa v4

Logická identifikace: Identifikuje zařízení na síťové vrstvě (L3).

image

Přidělování IP adres

IP adresy se nepřidělují náhodně, ale mají přísnou hierarchickou strukturu, která je silně vázaná na geografii.

Funguje to následovně:

( Totožné rozdělování s DNS [ . -> .cz → .spssol.cz])

Maska site

Rozsahy sítě

Privátní (neveřejné) adresy

Určené pro lokální sítě (LAN), nesměrují se do veřejného internetu:

Speciální adresy

Beztřídní směrování (CIDR)

Adresy v konkrétní síti

Subnetting

https://www.youtube.com/watch?v=hbdT_Q9DM8w

Další příklady

Příklad 1: 192.168.1.192/26

image

Ethernet

Switch

Broadcast doména

VLAN

Switch

Switch vs. hub vs. router

 

Access port

Ethernet

VLAN

Hlavní přínosy VLAN

L2 switch

ale neumí:

Switch-front

Switch-back

Trunk port

image

image

Ethernet protokol

Standardy/Normy

  1. IEEE 802.3
    - určuje specifikaci fyzické a linkové vrstvy
    - určeno pro lokální sítě s některými WAN aplikacemi
    - definuje např. různé verze Ethernetu např. 10BASE-T, 100BASE-TX (Fast Ethernet), 1000BASE-T (Gigabit Ethernet), PoE ad.
  2. ISO 8802-3
    - pro fyzickou vrstvu definuje typy kabelů a konektorů používaných pro přenos dat
    - pro linkovou vrstvu specifikuje metody přístupu k fyzickému médiu a kontrolu přenosu dat
    - pro fyzickou vrstvu dále definuje protokoly pro řízení a správu sítě - např. pro PoE

Access port

Uplink / Trunk port

maxresdefault

Iner-VLAN routing

Rámec - Frame

Struktura ethernetového rámce - verze Ethernet II

SekceVelikostPopis
Preambule7 bytůSynchronizace (10101010 sekvence)
SFD1 byteStart rámce (10101011 sekvence)
Destination MAC6 bytůMAC adresa příjemce
Source MAC6 bytůMAC adresa odesílatele
EtherType/Length2 bytyTyp protokolu nebo délka datového pole
Data / Payload46-1500 bytůData vyšší vrstvy, případně doplněná výplní
FCS4 bytyKontrolní součet pro detekci chyb

Bezpečnost na access portu

příklad - omezení zařízení připojených na port

switchport port-security
switchport port-security maximum 1
switchport port-security violation shutdown (protect, restrict)

MAC tabulka

VLAN Tagy

Native VLAN

L3 switch

Příklad konfigurace portu

interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast

Konfigurace switche

Přidání statického záznamu

⚠️Důležité⚠️

Typ/délka - EtherType/Length

EtherType

FCS - Frame Check Sequence

Jak to funguje

  1. Výpočet CRC (Cyclic Redundancy Check)
    - FCS je vypočítán pomocí algoritmu CRC-32 (32bitová cyklická redundantní kontrola)
    - provede se matematický výpočet na základě všech bitů rámce, od Destination MAC Address po Payload (včetně paddingu, pokud je přítomen)
    - výsledkem tohoto výpočtu je 32bitová hodnota (čtyři byty), která se připojí na konec rámce jako FCS
  2. Vložení FCS do rámce
    - při odesílání vysílající zařízení připojí tuto 32bitovou hodnotu FCS na konec rámce jako poslední část před odesláním
  3. Ověření FCS při příjmu
    - při přijetí rámce provede příjemce stejný výpočet CRC-32 na rámci a porovná svou vypočítanou hodnotu s hodnotou FCS v rámci
    - pokud se obě hodnoty shodují, rámec je považován za nepoškozený a je dále zpracován
    - pokud se hodnoty neshodují, rámec je považován za poškozený a je obvykle zahozen
  4. Zahození poškozeného rámce
    - pokud rámec neprojde kontrolou FCS, je v Ethernet síti zpravidla zahozen, což znamená, že přijetí dat je neúspěšné
    -  v případě potřeby může vyšší síťová vrstva (například TCP) zajistit opakování přenosu chybějících dat

Struktura

 

image

Aging

Vymazání

Aging

CLI

74

Preambule - Preamble

SFD - Start Frame Delimiter

Destination MAC

Source MAC

Příklad

92a57c4d-7d3f-4da0-ac5d-a4d735319987

Statické záznamy

Použití statických záznamů je vhodné:

Proč?

Cisco-configuration-mode

MAC a Security

Režim - Mode

pdfcrowd.pdf

Data - Payload

Jak to funguje

Zjišťování MAC adres

Krok 1 – příchozí rámec

 

Krok 2 – rozhodnutí o přepnutí (odeslání) rámce

switch prohledává MAC tabulku

  1.  cílová MAC adresa se nachází v tabulce
    • switch pošle rámec pouze na daný port
  2. cílová MAC adresa v tabulce není
    • pošle se na všechny porty kromě vstupního, tzv. flooding
  3. cílová MAC adresa je broadcast adresa
    • flooding - pošle se na všechny porty

https://www.youtube.com/watch?si=XKSnynDnYeKQtwQD&t=1582&v=u2n762WG0Vo

Zobrazení tabulky

image

Privileged EXEC mode

Postup tvoření VLAN (od návrhu po konfiguraci)

Fáze 0: Plánování a Subnetting (Příprava na papíře)

Než vůbec sáhneme na switch, musíme mít plán. Protože každá VLAN tvoří samostatnou síť (broadcast doménu), musí mít i svůj vlastní rozsah IP adres.

Fáze 1: Vytvoření VLAN na switchi

Přihlásíme se do switche a v globálním konfiguračním režimu virtuální sítě "založíme" a pojmenujeme.

Switch> enable
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name Ucitele
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name Studenti
Switch(config-vlan)# exit

Fáze 2: Zařazení koncových zařízení (Access porty)

Nyní musíme switchi říct, do jaké VLAN patří jednotlivé "zásuvky" (fyzické porty), kam připojujeme PC.

Switch(config)# interface FastEthernet 0/1
Switch(config-if)# switchport mode access      ! Přepnutí do režimu pro koncová zařízení
Switch(config-if)# switchport access vlan 10   ! Pevné přiřazení do VLAN 10
Switch(config-if)# exit

Switch(config)# interface FastEthernet 0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20
Switch(config-if)# exit

Fáze 3: Propojení switchů a routerů (Trunk porty)

Aby mohly VLANy cestovat po jednom kabelu do dalšího switche nebo routeru, nastavíme propojovací port jako Trunk. Zde také aplikujeme bezpečnostní pravidlo pro Native VLAN.

Switch(config)# interface GigabitEthernet 0/1
Switch(config-if)# switchport mode trunk               ! Port přenáší více VLAN (zapíná 802.1Q)
Switch(config-if)# switchport trunk native vlan 99     ! Změna výchozí netagované VLAN z 1 na 99
Switch(config-if)# exit

Fáze 4: Inter-VLAN Routing (oživení komunikace)

Bez tohoto kroku se učitel se studentem nespojí. Pokud máme L3 switch (např. vrstva Core/Distribution), vytvoříme na něm virtuální rozhraní (SVI), která budou sloužit jako výchozí brány (Default Gateways) pro jednotlivé VLANy.

Switch(config)# ip routing                  ! Zapnutí routování na L3 switchi
Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.1.1 255.255.255.192   ! IP adresa brány pro učitele
Switch(config-if)# no shutdown
Switch(config-if)# exit

(Pokud bychom používali obyčejný router, konfigurovali bychom tzv. sub-interfacy, např. interface GigabitEthernet 0/0.10).

MAC/CAM tabulka

User EXEC mode

CAM-Table

Příklad

enable
configure terminal
interface fa0/1
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security mac-address sticky
switchport port-security violation shutdown
end

Typické příkazy

ARP

ARPSpoofing

How-Does-ARP-Work

ICMP

Typy ARP zpráv

Address Resolution Protocol

ICMP

ICMP - Internet Control Message Proocol

Struktura ICMP zprávy

Každý ICMP paket má základní hlavičku:

Struktura ARP rámce

ARP rámec (ARP frame) je součástí ethernet rámce uvniř Payload

image

ARP Spoofing

Princip ARP spoofingu

  1. Útočník rozesílá podvržené ARP Reply zprávy, ve kterých cizí IP (např. brány) mapuje na svoji MAC
  2. Napadené zařízení si do své ARP cache uloží falešný záznam a začne posílat rámce na útočníkův NIC, který tak může monitorovat data
  3. Útočník může provoz přeposílat dál (MITM – Man-in-the-Middle) nebo ho zahodit (DoS - Denial of Service) 

Důsledky

DHCP

DHCP = Dynamic Host Configuration Protocol

Výhody DHCP

 

Nevýhody DHCP

image

Kategorie ICMP zpráv

1. Chybové zprávy (Error Messages)

2. Řídicí zprávy

Praktické využití

Bezpečnostní aspekty

image

DHCP-DORA

Obrana a mitigace

Na koncových zařízeních / serverech

Switche (L2) – enterprise prostředí

Wi-Fi sítě

 

Audit a provozní kontrola, bezpečné postupy, procesy

ARP tabulka/cache

DHCP klient

  1. DHCP Discover - Zjišťování
    -     klient se chce připojit do sítě
    -  odešle broadcast - zprávu typy DHCPDiscover aby zjistil DHCP servery
    - Broadcast na L2 a L3 
    - klient může také v rámci DHCPDiscover požadovat konkrétní IP adresu, což DHCP server může zohlednit při výběru adresy k nabídce

  2. DHCPOffer - Nabídka
    -     DHCP Server obdrží Broadcast DHCPDiscover od klienta
    - odpoví klientovi zprávou DHCPOffer s dostupnými IP adresami a možnostmi konfigurace
    -  Broadcast na L2 i L3 

  3. DHCPRequest - Požadavek
    - klient si vybere jednu z nabízených IP adres a odešle zprávu DHCPRequest
    -  Broadcast na L2 i L3 
    - tuto zprávu obdrží i ostatní klienti v síti, aby se zjistilo, zda některý z nich již používá požadovanou IP adresu
    - pokud ne, klient může tuto adresu získat

  4. DHCPAcknowledgment - Potvrzení
    - DHCP server potvrdí žádost klienta zprávou DHCPAck
    - tato zpráva obsahuje IP adresu, gateway, masku sítě, DNS servery ad.), dobu trvání zapůjčení a další informace, které klient potřebuje k použití této IP adresy
    -  Broadcast na L2 i L3 

Příklady

  1. Výpis obsahu ARP cache
    • arp -a

      image

       Linux: ip neigh nebo arp

  2. Smazání záznamu z ARP cache
    • arp -d 192.168.68.51

  3. Vložení záznamu do ARP cache
    • arp -s 192.168.68.51 1c-86-9a-21-18-2c

Detekce

  1.  Na zařízení (hostu)
    • Nečekaná změna MAC u důležitých IP (typicky default gateway) v ARP cache.
    • Duplicitní MAC pro více IP nebo časté „přeskakování“ MAC z jední IP adresy na jiné
    • Náhlé výpadky konektivity, vysoká latence zejména na gateway
  2. V síti
    • Mnoho nevyžádaných ARP Reply (odpovědi bez odpovídajícího Requestu)
    • MAC flapping na switchi - stejná MAC adresa na více portech
    • Duplicitní IP/MAC hlášení nástrojů (např. arpwatch/IDS)
    • Nesoulad: eth.src ≠ arp.sha (MAC v Source neodpovídá MAC v PayLoadu)
    • Náhlý nárůst ARP provozu či GARP Storm
  3. Monitoring provozu, např. Wireshark - filtry pro Wireshark (pro detekci/anomálie)
    •  Neobvyklý objem ARP provozu, opakované odpovědi na tutéž IP adresu
    • Duplicate address detection/„gratuitous ARP“ mimo běžné události (boot, failover)
    • arp (základní pohled na ARP)
    • arp.opcode == 2 (pouze ARP Reply)
    • arp.duplicate-address-detected == 1 (pokud Wireshark vyhodnotí duplicitu)
    • eth.src != arp.sha (podezřelé odpovědi)

DHCP Server

Funkce a činnosti DHCP serveru

Konfigurace DHCP serveru na Windows serveru

  1. pomocí MMC konzoly
  2. pomocí PowerShell

image

image

image

image

DORA-Wireshark

image

Cvičení na DHCP

  1. uvolnit IP adresu - ipconfig -release
  2. zkontrolovat přidělenou IP adresu - ipconfig -all
    • neměla by být přidělena
  3. spustit Wireshark a zahájit sledování sítě
  4. požádat DHCP server o IP adresu - ipconfig -renew
  5. zastavit sledování ve Wiresharku
  6. odfiltrovat data ve Wiresharku - filter = DHCP
  7. zkontrolovat přidělenou IP adresu na stanici
  8. prostudovat výpis ve Wiresharku

dhcp.pcapng

Průběh DHCP

image

image

image

image

Základní princip fungování

Proces při přijetí rámce

  1. Router přijme rámec na ethernetovém rozhraní - 2. vrstva
  2. Odstraní L2 hlavičku (ethernetovou)
  3. Analyzuje payload, zkontroluje cílovou IP adresu
  4. Podívá se do routing table (směrovací tabulka)
  5. Vybere nejlepší trasu pro doručení dat - packetu
  6. Určí výstupní rozhraní
  7. Packet znovu zapouzdří do nového rámce
  8. Odešle ho na odpovídající výstupní rozhraní (ethernetové)

Pokud router nenajde odpovídající záznam:

Router

Hlavní funkce

image

Příklad výpisu

show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route

Gateway of last resort is not set

10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C 10.0.0.0/30 is directly connected, GigabitEthernet0/0
L 10.0.0.1/32 is directly connected, GigabitEthernet0/0
192.168.1.0/24 is variably subnetted, 2 subnets, 2 masks
C 192.168.1.0/24 is directly connected, GigabitEthernet0/1
L 192.168.1.1/32 is directly connected, GigabitEthernet0/1
S 192.168.2.0/24 [1/0] via 10.0.0.2

Směrovací - routovací tabulka

Struktura tabulky

Destination network - adresa cílové sítě (např. 192.168.2.0)

Prefix / Mask - maska cílové sítě (např. /24)

Next-hop - IP adresa dalšího routeru

Outgoing interface - výstupní rozhraní

Metric - "cena" trasy

Administrative Distance - důvěryhodnost zdroje

Source - jak byla trasa získána

Výpis obsahu tabulky

Směrování

Gateway

Cisco 1841 Front panel

cisco-1841-router-front-view

  1. System power LED
  2. System Activity LEDs

Cisco 1841 Rear Panel

Cisco-1841-Rear

image

NAT

image

Routing Table na PC

Význam hodnot ve výpisu

Statické směrování - Static Routing

Význam: „Pokud jde paket do sítě 192.168.2.0/24, pošli ho na router s IP 192.168.1.2.“

Typy statických tras

1. Standardní statická trasa

ip route 192.168.2.0 255.255.255.0 192.168.1.2

2. Default route (výchozí trasa)

0.0.0.0/0 → gateway

3. Statická trasa na rozhraní

ip route 192.168.2.0 255.255.255.0 FastEthernet0/0

4. Floating static route

ip route 192.168.2.0 255.255.255.0 192.168.1.2 200

 

Výhody statického směrování

Nevýhody

 Využití v praxi

Dynamické směrování - Dynamic Routing

Default route

image

Metric - metrika

Příklad

Network Destination    Netmask          Gateway       Interface      Metric
0.0.0.0               0.0.0.0          192.168.1.1   192.168.1.10   25     (ether)
0.0.0.0               0.0.0.0          10.8.0.1      10.8.0.10      5      (VPN)

V tomto případě se použije VPN, protože má nižší metriku

 

Rozhodovací algoritmus

  1. Longest Prefix Match (nejdelší maska má přednost)
  2. pokud je prefix stejný → rozhoduje metric

Příklad

Network Destination    Netmask              Gateway        Interface     Metric
0.0.0.0                0.0.0.0              192.168.1.1    192.168.1.10    20
0.0.0.0                0.0.0.0              10.0.0.1       10.0.0.10       10

Použije se 10.0.0.1, protože má nižší metriku

Jak to funguje

Router

  1. přijme paket
  2. podívá se na cílovou IP adresu
  3. určí nejdelší shodu prefixu (longest prefix match), příp. porovná metriky
  4. pokud najde statickou trasu:
    • odešle paket na definovaný next-hop nebo rozhraní
  5. Pokud nenajde žádnou trasu:
    • použije default route (pokud existuje)
    • jinak paket zahodí a odešle ICMP packet odesílateli

Distance Vector protocols

Výhody

Nevýhody

Link-State protocols

  1. zjistí své sousedy
  2. vytvoří LSA - Link-State Advertisment, ve kterém- uvede seznam svých rozhraní- uvede stav linek (portů) - up/down- cost (náklady - rychlost apod.)
  3. rozešle LSA ostatním routerům v síti, které je přeposílají dál
  4. na základě těchto LSA si routery vytvoří LSDB (Link-State Database) - všechny routery ji mají stejnou- LSDB obsahuje topologii celé sítě
  5. router potom spočítá nejkratší cesty a vytvoří/aktualizuje routovací tabulku

Výhody

Nevýhody

Srovnácí s Distance Vector protokoly

PC

Nastavení metriky

Windows

Linux

Router

RIP - Routing Information Protocol

OSPF

dns

DNS - Domain Name System

Struktura doménových jmen

image

Top Level Domains

  1.  generické - pevně stanoveny organizací IANA - .com, . org, .net, .info, . biz, .core
  2. národní - pro jednotlivé státy - .cz, .sk

  3. infrastrukturní - používají se pro vnitřní mechanismy Internetu - .arpa

  4. geografické - sdružují domény z jednoho města, v jednom jazyce nebo z jedné provincie -  .wien, .london, .africa

  5. sponzorované  - mají manažera zastupujícího určitou komunitu - .aero, .gov

DNS - Namespace

Příklad:

Máme jmenný prostor žáků naší školy

musíme mít minimálně 4 identifikátory a to jméno, příjmení, třída a např. osobní číslo (ID)

jan.seidler.1E.147

jan.seidler.1E.148

DNS Records - záznamy

V "databázích" systému DNS se používá několik typů záznamů - RECORDS, z nichž každý má specifický účel a význam. Určují např.,  jak, má být název či adresa přeložena, či jaké služba jsou s danou doménou spojeny

Nástroj pro zjišťování informací o DNS záznamech

https://mxtoolbox.com/SuperTool.asp

Servery DNS

Autoritativní server 

Rekurzivní (caching only), Resolve server

A/AAAA Record

image

image

CNAME Record

image

MX Record

zápis v systému

image

DNS - co to tedy je a co to není?

Root servery

dns-delegation-tree

image

https://root-servers.org/