TP2 Configuration de niveau 2

Transcription

1 TP2 Configuration de niveau 2 1. Configuration de SWITCHS VLAN La configuration des switchs se fait par l'intermédiare d'un terminal passif. Comme nous n'en avons pas à disposition, il existe des programmes permettant d'avoir le même comportement. Brancher le câble série sur le switch et le PC. Nous allons utiliser minicom # minicom -o CTRL-A puis o Choisir : Configuration du port série afin de sélectionner Port Série : /dev/ttys0 Débit Parité Bits : N1 Pas de contrôle de flux (ni matériel ni logiciel) Choisir : Enregistrer config. sous dfl Puis Sortir CTRL-A puis q puis relancer minicom. Ensuite, loguez vous en administrateur : user : manager password: friend Faire le câblage suivant : A B C D SWITCH Configurer les postes comme suit : A /24 B /24 C /24 D /24 Pour la configuration cf : Faire des tests de connectivité (ping) entre A, B, C et D. 1.2 Avec et (à télécharger sur le site : testperfs.zip ), faire des tests de débit où A génère un trafic vers D, B vers D et C vers D. Quel est le débit vu par A, B et C? Quel est le débit vu pour chacun des trafic vu sur D? N'y a t il pas un problème? Que fait le switch en fait? 1.3 Créer des VLAN basés sur le port, pour que A et B soit sur le vlan 2, et C et D soit sur le VLAN 3. Faire des tests de connectivités (ping) entre A, B, C et D. Comment peut on savoir que les VLAN sont en places? 1.4 Faire à présent le câblage suivant :

2 A B C D HUB SWITCH Faire la configuration du switch pour avoir A et C sur le VLAN2 et B et D sur le VLAN 3. Vérifier que la mise en place est effective Utiliser 2 switchs et configurer le lien entre les 2 switchs afin de faire passer les 2 vlans sur ce dernier. Placer un hub pour observer sur ce lien les trames en 802.1Q Forcer le port e2 en 10baseT et le port e3 en 100BaseT. En consultant la configuration des ports et en faisant des tests de débits, verifier que tel est le cas. 1.7 Enlever les VLAN, faire une redondance physique entre les 2 switchs. Désactiver le protocole spanning tree. Faire un ping vers l'adresse , que se passe-t-il? 1.8 Activer le protocole spanning tree. Que constatez vous? En observant les trames présentes sur les ports, indiquer quel est le switch racine. 2 Observation des trames ethernets Insérer le câble «magique» entre le HUB et l'une de vos machines (une fois sur le port e2 et une fois sur le port e3). A l'aide d'une sonde et d'un oscilloscope mesurer ce qui vient de la paire de transmission. 2.1 Observer le signal présent sur la paire Tx avant de brancher sur le switch. Quels sont les signaux envoyés. 2.2 Faire la capture d une trame (envoyée avec ping) et relever le chronogramme.quelles sont les tensions utilisées pour le codage 2.3 De quel type de codage s agit-il?2.3 Retrouver les différents champs de la trame (Synchro, ) 3 IPv4 - ARP 3.1 Revenir à la configuration 1.1, vider les tables ARP (ip neighbour flush dev ethx ou arp -a -d). Afin de visualiser le contenu des tables arp, faire la commande arp -a 3.2 Lancer une capture avec ethereal et faite un ping entre 2 machines (ping -c Consultez les tables ARP des machines concernées. 3.3 Relancez immédiatement la même commande et stockez les trames. Consultez les tables ARP des machines concernées. 3.4 Laisser reposer le réseau sans activités (attente > 3 minutes). Consultez les tables ARP des machines concernées. 3.5Relancez la même commande en stockant les trames. Consultez les tables ARP des machines concernées. 3.6 Dans chacun des cas détailler le contenu des trames.

3 3.7 Quels sont les protocoles qui ont été utilisés? Pourquoi? 3.8 Commenter les adresses sources et destination au niveau ethernet. 3.9 Expliquer la signification des différents champs utilisés au niveau ARP 3.10Pour les trames ARP il y a une redondance avec ce qui est fourni par ethernet, est-ce utile? Pour quelle raison? 3.11 Détailler les champs utilisés dans les trames ICMP. 4 noms des machines <-> Adresses IP : DNS Il existe deux moyens pour effectuer la résolution d un nom en adresse IP ou l inverse. Le premier est un moyen local et consiste à définir un fichier de correspondance sur chaque machine. Ainsi chaque machine sera capable de résoudre les noms qui sont définis dans son fichier. Sur une machine Unix, ce fichier est /etc/hosts. 4.1 Visualiser le contenu de ce fichier, et commenter son contenu. Évidemment le fichier /etc/hosts ne permet pas de faire la résolution de nom de l'ensemble des machines du réseau Internet. Il ne comporte que les noms des machines proches. Le second moyen de résolution des adresses est un moyen global qui permet de résoudre n importe quel nom de machine du réseau internet. Il repose sur le service DNS (Domain Name Service). Le principe est simple: Chaque domaine (exemple univ-savoie.fr), dispose d'un base de données contenant notamment les correspondances entre les noms des machines du domaines et les adresses de ces machines.en général lorqu'une application utilise le nom d'une machine pour atteindre un service, cette application fait une requête DNS au serveur de nom désigné par le système d'exploitation. Si ce serveur ne connaît pas l'information il sait auprès de quel serveur il pourra obtenir l'information.(cf. RFC 1035) 4.2 En faisant une capture de trame pendant un ping vers une machine inconnu du fichier «/etc/hosts», déterminer quel est le serveur DNS utilisé par la machine en question. 4.3 Analyser les trames en détail concernant les échanges avec le serveur DNS. 4.4Trouver dans le répertoire /etc, le fichier qui définit que le serveur DNS est à cette adresse. Pour aller plus loin avec le DNS, utiliser la commande dig pour interroger la base de donnée de votre serveur DNS. (Cf. man dig et RFC 1035): exemple : dig A (recherche dans la base de données, le champ A(adresse) correspondant au nom Déterminer les serveurs de noms du domaine univ-savoie.fr Déterminer les serveurs de courrier du domaine univ-savoie.fr Lister toutes les infos que vous pouvez récupérer de la part du serveur DNS (requête axfr) sur le domaine univ-savoie.fr, déterminer les autres noms pour le serveur web ayant comme nom Nous ne pourront plus par la suite utiliser le DNS dans le cadre de ce TP puisque nous avons isolé le réseau... Il faut à présent utiliser que des adresses IP ou remplir le fichier /etc/hosts 5 RESEAU MIXTE : POINT À POINT / ETHERNET (PROXY ARP) Quelques éléments utiles: Pour qu'une machine fasse suivre les paquets d'une interface vers une autre (fonctionnement en mode routeur) il faut activer ip_forward au niveau du noyau : sysctl -w net.ipv4.ipforward=1 (=0 pour désactiver le mode routeur)

4 Pour ajouter une entrée dans la table de routage :(Cf. ip route help) ip route Pour enlever une entrée dans la table de routage: ip route Cf. Pour ajouter une entrée permanente dans la table ARP : pub Soit le réseau suivant : Câble Serie A B C D HUB/SWITCH 4.1.Câbler le réseau sans oublier de désactiver l'interface ethernet de la machine A: ip address dev interfaceethernet 4.2.Configurer la liaison point à point: Sur A et B : slattach -s p slip /dev/ttys0 Sur A et B : ip address dev interfacesérie Assurez vous que A peut atteindre B et B peut atteindre A. 4.3.A peut il envoyer un message à C et D (sans que C puisse forcément répondre)? Pourquoi? 4.4. Configurer A et B pour que ce soit possible.(verifier que D et C reçoit un message en lançant tcpdump sur D et C) 4.5.D et C peuvent ils répondre à A? Pourquoi? Modifier la configuration de B pour que ce soit le cas. 5 Mise en place de 802.1X 5.1 Installer un serveur Radius sur la machine A apt-get install freeradius Editer le fichier /etc/freeradius/client.conf Mettez le mot de passe mdp1 de votre choix pour accéder en local au serveur radius Ajouter une entrée pour que votre switch puisse y accéder avec un autre mot de passe mdp Editer le fichier /etc/freeradius/sites-enabled Vérifier que eap est disponible Vérifier que l'accès aux comptes unix est disponible Editer le fichier users pour ajouter un utilisateur de test avec un mot de passe mdptest Démarrer le serveur Radius : freeradius -X et tester son fonctionnement radtest test mdptest mdp1 Pour se faire vous pouvez vous référer à Configurer le switch Configurer le serveur radius serveur pour le switch (cf documentation radiusserver p 148 et suivantes de la documentation AT-8000sCLI_07May06) Activer l'authentification 802.1X sur le port vers la machine B Connecter la machine B et vérifier que l'accès au port est restreint.

5 5.3 Analyse des échanges Analyser les échanges entre le switch et B, ainsi qu'entre le switch et A lors de l'authentification Dessiner sur les échanges lors de l'authentification Mettre en place une authentification basée sur TLS, LDAP,