TP 1 - Wireshark et Ethernet

Transcription

1 TP 1 - Wireshark et Ethernet Nommage des cartes réseaux Sous Linux, tous les périphériques (disques durs, cartes réseau, imprimantes,... ) sont nommés et ce nommage respecte certaines règles. Par exemple, les cartes (ou interfaces) réseau Ethernet s appellent eth0, eth1,..., selon le nombre de cartes qu a votre ordinateur. Dans ce TP nous utiliserons uniquement la première carte réseau (celle d où part un cable jaune), nommée donc eth0. Adresses IP Les machines reliées à l Internet n utilisent pas le mode d adressage MAC que nous avons vu en cours, mais le mode d adressage IP (Internet Protocol) qui sera étudié dans la quatrième partie du cours du réseau. Une machine a alors deux adresses : une adresse physique qui est gravée sur sa carte réseau et une adresse IP qui est la seule connue et utilisée par les autres machines. Les adresses IP sont généralement écrites sous forme décimale pointée : ce sont quatre entiers de 0 à 255 séparés par un point. Toutes les machines de la salle de TP ont une adresse de la forme Y.Z. Comme nous le verrons plus tard, ceci indique que ces adresses sont privées : elles ne peuvent pas être utilisées sur le réseau Internet. Elles sont uniquement valables sur le réseau de l IUT. Paramètres de compte Vous vous connecterez en utilisant le compte suivant : identifiant : etudiant mot de passe : iutparis13 Vous ouvrirez ensuite un terminal. Toutes les commandes doivent ensuite être tapées dans ce terminal et validées avec la touche Entrée. Exercice 1 Outils de configuration de base Q. 1.1 L outil ifconfig permet d obtenir des informations sur vos interfaces réseau. Entrez la commande ifconfig et interprétez les données affichées pour l interface eth0. Quelle est en particulier votre adresse MAC? Comment en déduisez vous le constructeur de la carte? Quelle est votre adresse IP? Les informations affichées par ifconfig pour la carte réseau eth0 sont les suivantes. $ ifconfig eth0 eth0 Link encap:ethernet HWaddr B8:AC:6F:3E:67:DD inet adr: Bcast: Masque: adr inet6: fe80::baac:6fff:fe3e:67dd/64 Scope:Lien UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:22697 errors:0 dropped:0 overruns:0 frame:0 TX packets:18999 errors:0 dropped:0 overruns:0 carrier:0 collisions:3477 lg file transmission:1000 RX bytes: (18.6 MiB) TX bytes: (3.2 MiB) Interruption:16 Les informations qui nous intéressent sont l adresse MAC de la machine (HWaddr) qui est B8:AC:6F:3E:67:DD. Le code du constructeur de la carte est B8:AC:6F (les trois premiers octets). l adresse IP de la machine (inet adr) qui est Le nombre de trames envoyées (TX packets) et reçues (RX packets) par la carte depuis son activation. Le nombre de collisions détectées (collisions) par la carte depuis son activation. Q. 1.2 L outil mii-tool permet d obtenir des informations sur votre liaison. Entrez la commande mii-tool eth0. Qu affichet-elle? Que pouvez-vous dire sur la configuration de votre liaison? Voici un exemple d affichage de mii-tool eth0 : $ mii-tool eth0 eth0: no autonegotiation, 100baseTx-HD, link ok 1

2 100baseTx-HD signifie que la liaison a un débit de 100 Mbit/s. base nous informe sur le type de codage utilisé (codage en bande de base) pour les signaux électriques envoyés. Tx-HD signifie que la liaison est en Half Duplex : notre machine et le switch auquel on est connecté ne peuvent pas émettre simultanément mais chacun leur tour (sinon il y a collision). En Full Duplex ils peuvent transmettre simultanément sans risque de collision. no autonegotiation signifie qu il n y a pas eu de négociation entre le switch et la machine pour s accorder sur le débit. (Quand on relie des équipements qui fonctionnent à des débits différents il peut y avoir une négociation pour que les deux s accordent sur un débit et un mode (half ou full-duplex).). link ok : la liaison fonctionne. mii-tool permet aussi de changer les caractéristiques de la liaison si on lui passe l argument -F. Par exemple, pour passer en full-duplex : $ mii-tool eth0 -F 100baseTx-FD $ mii-tool eth0 eth0: no autonegotiation, 100baseTx-FD, link ok Exercice 2 Wireshark Wireshark est un programme de capture de trames : il communique directement avec une de vos cartes réseau qui lui transmet des informations sur les trames Ethernet qu elle a transmises ou reçues. Wireshark peut ensuite détailler les différentes trames analysées en donnant par exemple, pour les trames Ethernet, la valeur de l adresse de destination, le type du protocole,... Q. 2.1 Connectez vous en tant qu administrateur (utilisateur root) en utilisant la commande su -. Tapez ensuite le mot de passe (iutparis13) et appuyez sur Entrée. Q. 2.2 Entrez la commande wireshark &. Q. 2.3 Démarrez ensuite la capture de trame sur l interface eth0 en allant dans le menu Capture, en sélectionnant Interfaces et en cliquant sur le bouton Start de l interface eth0. Q. 2.4 Dans le terminal, tapez la commande suivante : wget Cette commande permet de télécharger le fichier à l adresse indiquée sans ouvrir de navigateur. Nous l utilisons uniquement pour générer du trafic et pouvoir capturer quelques trames. Revenez ensuite sur wireshark et stoppez la capture. Wireshark affiche les informations sur les trames capturées dans trois panneaux. Le panneau supérieur contient la liste des trames capturées (une ligne par trame) avec une brève description (adresses source et destination, type de protocole,... ) de ces trames. Le panneau du milieu détaille la trame sélectionnée dans le premier panneau. Enfin, le panneau du bas est moins intéressant et donne la trame complète sous forme hexadécimale. Dans la suite de l exercice nous analyserons les trames capturées par wireshark. Q. 2.5 Quelle est l adresse MAC de la machine qui vous a envoyé des données HTTP? Voici une capture d écran de wireshark. On a entré http dans le filtre pour ne voir que les trames contenant des messages HTTP. 2

3 La première trame correspond à la requête que l on a envoyée pour récupérer la page. Les trames suivantes contiennent la réponse du serveur (i.e., la page HTML demandée). La page HTML faisant plus de octets elle a été transportée dans plusieurs trames Ethernet. En regardant dans le PCI Ethernet de la deuxième trame on retrouve dans le champ Source l adresse MAC de la machine qui nous a envoyé cette réponse. Q. 2.6 À quels protocoles appartiennent les données encapsulées dans les trames Ethernet capturées (ceux qu on retrouve dans les champs de données des trames)? Directement encapsulées dans les trames Ethernet on retrouve généralement les protocoles LLC, IP ou ARP. Q. 2.7 Donnez la structuration des trames contenant des données HTTP (le contenu du fichier téléchargé, par exemple) en faisant apparaître les différents PCIs encapsulés dans ces trames. Que vaut le champ DL/Etype du PCI Ethernet dans ce cas? Déduisez-en la version d Ethernet : I ou II? Que peut-on en déduire sur le champ de données de la trame Ethernet? Quels sont les tailles des PCIs des différents protocoles utilisés pour transporter des données HTTP? Sachant qu une trame Ethernet peut contenir au maximum 1500 octets de données, déduisez en le nombre maximum d octets de données HTTP que l on peut trouver dans une trame Ethernet. Toujours à partir de la capture d écran de la question 2.5, on voit que le champ DL/Etype du PCI Ethernet (après l adresse Source) vaut 0x0800 dans la trame capturée. Wireshark l appelle alors Type. 0x0800 vaut 2048 en décimal. Cette valeur étant supérieur à 1500, on en déduit que la trame Ethernet est une trame Ethernet II et que 0x0800 est le code d un protocole (IP dans ce cas). Cela signifie donc que le 3

4 champ de données de la trame Ethernet est un paquet IP. Le panneau du milieu nous indique que, pour les trames Ethernet contenant des messages HTTP, on retrouve quatre couches de protocole : Ethernet, IP, TCP et enfin HTTP. Les PCI IP et TCP donnent les tailles en octets des en-têtes IP et TCP (Wireshark les appelle Header length). C est 20 (au minimum) à la fois pour IP et pour TCP. On en déduit que les trames Ethernet transportant de l HTTP contiendront au maximum = 1460 octets du protocole HTTP. Q. 2.8 Donnez la structuration des trames contenant des données du protocole STP (Spanning Tree Protocol, protocole que nous verrons au 2ème cours). Que vaut le champ DL/Etype du PCI Ethernet dans ce cas? Déduisez-en la version d Ethernet : I ou II? Que peut-on en déduire sur le champs de données encapsulé dans la trame Ethernet? On utilise maintenant le filtre stp. Le champ DL/Etype du PCI Ethernet vaut 38 dans la trame capturée. Wireshark l appelle alors Length. Cette valeur étant inférieur à 1500, on en déduit que la trame Ethernet est une trame Ethernet I, ce qui signifie que son champ de données est une trame LLC de 38 octets. On voit également qu il y a = 8 octets de bourrage (appelé Trailer par wireshark). Le panneau du milieu nous indique que, pour les trames Ethernet contenant des messages STP, on retrouve trois couches de protocole : Ethernet, LLC et enfin STP. Exercice 3 Ping et ARP Bien que les machines sur Internet communiquent avec leurs adresses IP il est nécessaire à un moment donné d encapsuler les messages échangés dans des trames Ethernet et donc de connaître l adresse MAC de la machine que l on souhaite contacter. On utilise alors le protocole ARP (Address Resolution Protocol) qui établit la correspondance entre les deux types d adresses. Nous allons étudier le principe de ce protocole simple en utilisant la commande ping utilisée pour tester si une machine est en marche et accessible. Le ping envoie un message du protocole ICMP au destinataire et si celui-ci est en marche et reçoit effectivement le message, il répond à l envoyeur. 4

5 Q. 3.1 Démarrez la capture de trames dans wireshark et entrez la commande ping -c 1 adresse (l option -c 1 sert à envoyer un seul message ping sinon, par défaut, la commande ne s arrête jamais) où adresse doit être substituée par l adresse IP d une autre machine. Revenez ensuite sous wireshark et stoppez la capture de trames. Donnez un chronogramme montrant la séquence des messages ARP et ICMP échangés lors de l exécution entre votre machine et le destinataire du ping. Quelles adresses physiques ont été utilisées dans les messages ARP? Pourquoi? On lance la commande ping -c depuis la machine En utilisant le filtre arp or icmp on ne sélectionne que les trames transportant des messages de ces deux protocoles. Quatre trames ont été reçues ou envoyées par la machines. En analysant les adresses on voit que le ping a généré l échange suivant = requête ARP 2 = réponse ARP 3 = message ICMP : le ping 4 = message ICMP : réponse au ping 4 Les trames 1 et 2 contiennent des messages du protocole ARP. Cet échange est nécessaire car initialement notre machine ( ) ne connaît pas l adresse physique de la machine qu elle veut pinguer : elle connaît uniquement son adresse IP ( ). Elle ne peut donc pas lui envoyer de trame. Elle envoie donc une requête ARP (trame 1) destinée à toutes les machines du réseau Ethernet (avec adresse destinataire = FF:FF:FF:FF:FF:FF) qui signifie : Je veux connaître l adresse physique de la machine dont l adresse IP est Toute autre machine (comme ) ignore la trame 1 car elle ne reconnaît pas son adresse IP dans la requête 5

6 ARP. Par contre reconnaît son adresse et répond par la trame 2 : qui signifie Je suis la machine dont l adresse IP est et mon adresse physique est 00:21:b7:72:51:2d. A la réception de la trame 2, notre machine connaît l adresse physique de et peut donc lui envoyer une trame contenant le message ping (trame 3). A la réception de la trame 3, la machine répond par la trame 4 qui contient la réponse au ping. Q. 3.2 Relancez la commande ping de la question précédente (sans lancer la capture de trames) puis entrez la commande arp. Qu affiche-t-elle? Les réponses aux requêtes ARP sont enregistrées dans une table appelée cache ARP. La commande arp permet d afficher ce cache qui donne les correspondances connues entre adresses physiques et adresses IP. Dans l exemple ci-dessous, la commande indique que la carte associée à l adresse IP a l adresse MAC 00:21:b7:72:51:2d et se trouve sur un réseau de type Ethernet. eth0 est le nom de l interface réseau utilisée pour envoyer des trames à cette machine. Enfin, le C dans la colonne Flags indique que la ligne est complète : on a les deux adresses (IP et MAC). $ arp Address HWtype HWaddress Flags Mask Iface ether 00:21:b7:72:51:2d C eth0 On peut supprimer une entrée avec la commande arp -d adresse-ip. Dans l exemple ci-dessous, on supprime l adresse IP de la machine pinguée et on affiche de nouveau le contenu du cache ARP. $ arp -d $ arp Address HWtype HWaddress Flags Mask Iface (incomplete) eth0 6