TP1 : Analyse de trames CORRECTION Allumez l'ordinateur. Sélectionnez «Windows XP (client)» au démarrage. Entrez le login «administrateur» et le mot de passe «Reseau276». La configuration du PC devra être remise à son état initial en fin de TP. Vous êtes invités à effectuer des recherches par vous même (dans les menus d'aide des logiciels ou sur internet, par exemple). 1) Par quel équipement central les ordinateurs sont-ils connectés entre eux (type, modèle)? Commutateur L2 D-Link 2) Quelle est la topologie logique et physique du réseau local? Dessinez un schéma. Topologie logique et physique : étoile 3) A quel endroit peut-on facilement modifier cette topologie? Au niveau de la baie de brassage 4) Combien y-a-t'il de cartes réseau dans l'ordinateur? Donnez leurs références (marque, modèle) et leur adresse MAC. 5) Quelle est la configuration réseau du système d'exploitation? Quelle commande avez-vous utilisé pour avoir ces renseignements? Ipconfig sous windows, ip link show sous linux 6) Comment le système d'exploitation a-t-il obtenu cette configuration réseau? Par le protocole DHCP (Dynamic Host Configuration Protocol) Lancez le logiciel LANWatch. LANWatch est un analyseur de paquets (ou sniffer). Il permet, entre autres, à un pirate d'espionner le réseau en quête de mots de passe, ou à l'administrateur réseau de résoudre certains problèmes en examinant le détail des échanges entre machines. Choisir le fichier de démonstration «DEMODUMP.DMP». Attendre que toutes les lignes soient affichées. 7) Décrivez l'interface de ce logiciel : rôle des fenêtres, lignes et colonnes. Que signifient les couleurs? Du haut en bas, la première fenêtre liste les paquets capturés, la deuxième montre des informations détaillées sur le paquet sélectionné, et la troisième fenêtre affiche le paquet au format hexadécimal. Dans la fenêtre du haut, chaque ligne correspond à un paquet. La première colonne indique le temps auquel le paquet a été capturé et la taille du paquet en octets. Les colonnes suivantes contiennent des informations générales concernant les protocoles utilisés de la couche liaison de données à la couche application. 8) Quels octets représentent le nom du constructeur de la carte? Que représentent les autres octets? Effectuez une recherche sur Internet pour trouver les codes Ethernet des principaux constructeurs. Les trois octets de gauche d'une adresse ethernet représentent l'oui (Organizationally Unique Identifier), qui est attribué par l'ieee à chaque constructeur de carte ethernet. Les trois octets suivants sont spécifiés par le constructeur. Exemples d'oui :
3com : 00:10:5A Cisco : 00:00:0C DEC : AA:00:04 Sun : 08:00:20 8) Examen des octets de position 0x0C et 0x0D dans les trames: 405.589, 405.604, 405.686, 405.703, 405.765, 405.781, 405.866. Quelle est la signification de ces octets dans chacune des trames? Déduisez-en comment LanWatch détermine un affichage de couleur différente pour chacune de ces trames. Le champ «ether_type» de la trame ethernet contient le code 0x0800 qui signifie que la trame transporte un paquet IP. Lorsque l'interface ethernet reçoit une trame, elle lit le contenu de ce champs pour savoir à quel logiciel de couche réseau envoyer le contenu du champs «données». C'est le démultiplexage. 9) Etude des trames aux temps 405.765, 405.934, 406.008. Quel est le mécanisme illustré par ces trames? Justifiez sa nécessité. Décrivez précisément le rôle de chacune de ces trames. Quelle est l adresse Ethernet destination précisée dans la trame 405.765? Expliquez pourquoi. Effectuez une recherche sur Internet pour avoir une description du protocole ARP et du format de ses paquets et retrouvez les différents champs dans la trame en hexadécimal. Pour envoyer des données à une machine distante sur un réseau ethernet, il faut connaître son adresse MAC. Or, généralement, l'application ne connait que son adresse IP. Le protocole ARP sert à résoudre les adresses MAC d'après les adresses IP. La première trame contient un paquet «ARP request» car le champs «operation» contient la valeur 0x0001. Cette trame est envoyée à l'adresse MAC de broadcast (FF:FF:FF:FF:FF:FF) mais le paquet qu'elle contient est pris en compte uniquement par la machine dont l'adresse IP est 206.34.72.75 (contenue dans le champs «adresse globale cible»). Le destinataire reçoit ce paquet, ajoute la correspondance entre l'adresse MAC et l'adresse IP de l'émetteur dans son cache ARP, puis répond par un paquet «ARP reply» (0x0002 dans le champs «operation») contenant son adresse MAC dans le champs «adresse physique source». L'émetteur reçoit la réponse ARP, ajoute la correspondance entre l'adresse MAC et l'adresse IP du destinataire dans son cache ARP et peut alors envoyer le paquet à son destinataire au temps 406.008. Un paquet ARP est composé de plusieurs champs : type de matériel (2 octets) : définit le protocole utilisé en couche liaison de donnée type de protocole réseau (2 octets) : définit le protocole utilisé en couche réseau taille de l'adresse matérielle (1 octet) taille de l'adresse réseau (1 octet) operation (2 octets) : 0x0001=request, 0x0002=reply adresse matérielle source adresse réseau source adresse matérielle cible adresse réseau cible 10)Retrouvez les champs adresse Ethernet et IP dans la trame codée en hexadécimal. Vérifiez la correspondance avec l'interprétation de la trame faite par LanWatch et expliquez. Sachant que la taille d'un paquet ARP est de 28 octets, que remarquez vous dans la trame
hexadécimale? Expliquez et justifiez la longueur de la trame ARP. Déterminez si LanWatch fait l'affichage du champ CRC Ethernet, déduisez-en la longueur réelle de la trame. La taille minimale d'une trame ethernet étant de 64 octets, le champs de données contenant le paquet ARP doit être complété par des octets de bourrage pour atteindre une taille de 46 octets. Le champs FCS (Frame Check Sequence) de 4 octets, qui contient un CRC (Cyclic Redundancy Check) permettant de vérifier l'intégrité de la trame, ainsi que le préambule de 8 octets, qui permet de préparer l'électronique de la carte ethernet à la réception de la trame, ne sont pas capturés par l'interface ethernet, et n'apparaissent donc pas dans le logiciel d'analyse de trames. Lancez le logiciel Ethereal. Ethereal est un analyseur de paquets issu d'unix et basé sur l'outil tcpdump. Cliquez sur «start...» dans le menu «capture». Choisissez la bonne interface réseau (celle connectée au réseau local). Lancez une acquisition pendant quelques secondes sans générer de trafic. 11)Quels protocoles sont utilisés? Quelle est l'adresse de destination de ces données. Sans générer de trafic, et bien que la machine soit connectée à un commutateur, un certain nombre de paquets sont reçus. Ces paquets sont envoyés à une adresse de diffusion générale (broadcast) dans le cadre de protocoles particuliers, comme ARP ou DHCP. 12)Visualisez la table ARP sur votre machine (commande «arp a» dans une fenetre de commandes DOS). Lancez une acquisition, et pendant ce temps testez la communication avec une machine du réseau ne figurant pas dans la table (utilisez la commande ping). Observez le trafic généré. Quels sont les protocoles utilisés et pourquoi? Le protocole ARP est d'abord utilisé pour obtenir l'adresse physique du destinataire, puis le protocole ICMP est employé pour effectuer une requête d'echo vers le destinataire. 13)Visualisez à nouveau la table ARP sur votre machine. Que constatez vous? Comme prévu dans le protocole ARP, le cache ARP contient une entrée temporaire qui fait correspondre l'adresse IP du destinataire à son adresse MAC. 14)Recommencez rapidement l acquisition et le ping une nouvelle fois et justifiez les différences au niveau des trames envoyées. Ici, plus besoin du protocole ARP, l'adresse MAC est résolue directement à partir de l'entrée restée dans le cache ARP. 15)Comparez une connexion sécurisée sur un site web avec une connexion non sécurisée. Lancez Internet Explorer et connectez vous sur http://www.creditmutuel.fr, après avoir lancé une capture. Faites de même sur https://www.creditmutuel.fr La plupart des protocole réseau, dont HTTP, font circuler les données «en clair» sur le réseau. C'est-à-dire que les caractères sont d'une page HTML, par exemple, sont codés en ASCII et transférés directement à la couche transport pour encapsulation. Un mot de passe peut donc être vu par un analyseur de trames.
Le protole HTTPS ajoute un cryptage au données transférées par le protocole HTTP, suivant le protocole de cryptage SSL (Secure Socket Layer). Ethereal permet de filtrer les données, avant ou après capture, selon différents critères. 16)Lancer une capture, puis connectez-vous à plusieurs ordinateurs distants (par http, ftp, icmp ou autre). Isoler les données envoyées par l'un des ordinateurs. Il existe deux types de filtre sous ethereal : le filtre de capture et le filtre d'affichage. Le filtre de capture utilise la même syntaxe que TCP dump sous linux, et il permet de filtrer les paquet au moment de leur capture. Donc les paquets qui sont filtrés ne sont pas capturés. Après avoir effectué une capture, pour simplifier l'affichage, on peut utiliser un filtre d'affichage. Pour isoler le trafic envoyé par l'adresse 192.168.104.1, par exemple, on peut entrer le filtre suivant: ip.addr==192.168.104.1 17)Filtrer les données pour ne lister que les paquets IP. Lors de la capture, pour prendre en compte uniquement les paquets IP, il suffit d'entrer la chaîne «ip» dans le champs «capture filter» des options de capture. 18)Quelle commande du système d'exploitation permet d'effectuer une demande de bail auprès d'un serveur DHCP? Utilisez cette commande et les possibilité du sniffer Ethereal pour détailler le fonctionnement du protocole DHCP. Notez les informations de configuration fournies par le serveur. Quelle est l'adresse MAC et l'adresse IP du serveur DHCP? Quelle est la différence entre les modes DHCP statique et dynamique? Dans quel mode est configuré le serveur du département? Le protocole RARP (Reverse Address Resolution Protocol) permet d'obtenir une adresse IP à partir d'une adresse MAC en envoyant un paquet de demande à un serveur RARP. Ce protocole est utilisé généralement sur les machines sans disque dur (diskless) pour qu'elles puissent démarrer en téléchargeant une image d'un système d'exploitation sur le réseau. Pour cela, elles obtiennent une adresse IP en faisant une demande au serveur RARP, puis utilisent le protocole TFTP (Trivial File Transfer Protocol) pour récupérer l'image du système d'exploitation. Le successeur d'arp fut le protocol BOOTP, qui inclus plusieurs paramètres de configuration supplémentaires. Puis DHCP succéda à BOOTP. Leur format de paquet (nombre et taille des champs) est identique. DHCP est compatible avec BOOTP : un client BOOTP peut obtenir ses paramètres réseau d'un serveur DHCP. Il est possible d'utiliser un serveur DHCP avec des clients répartis sur plusieurs réseaux IP. Des relais permettent alors de faire passer les paquets DHCP entre les réseaux. Il est possible d'utiliser plusieurs serveurs DHCP sur le même réseau, pour améliorer la fiabilité et la performance, à condition que les plages d'adresses dynamiques ne se chevauchent pas. Voici les étapes pour qu'une station obtienne une configuration réseau automatiquement : le client diffuse un message DHCPDISCOVER sur son réseau local physique le ou les serveurs DHCP répondent avec un message DHCPOFFER qui inclut une adresse réseau valide et éventuellement d'autres paramètres appelés «options DHCP». Le serveur doit vérifier que l'adresse réseau offerte n'est pas déjà utilisée. le client reçoit un ou plusieurs messages DHCPOFFER d'un ou plusieurs serveurs et contenant
des paramètres de configuration. Le client diffuse alors un message DHCPREQUEST qui inclus l'option 'identifiant serveur' indiquant quel serveur il a sélectionné. Les serveurs reçoivent les diffusions DHCPREQUEST des clients. Les serveurs qui ne sont pas sélectionnés par le message DHCPREQUEST interprètent ce message comme une notification que le client décline leur offre. Le serveur sélectionné dans le message DHCPREQUEST répond avec un message DHCPACK qui contient la configuration pour le client demandeur. Le client reçoit le message DHCPACK avec les paramètres de configuration. A ce moment, le client est configuré. Dans le cas d'un adressage dynamique, un bail est initialisé pour une durée fixée par le serveur. Le client peut choisir de renoncer au bail sur une adresse réseau en envoyant un DHCPRELEASE au serveur. Le DHCP statique permet d'allouer une adresse IP (réservation) à une machine en fonction de son adresse MAC. Le DHCP dynamique permet d'allouer des adresses IP (prises dans une plage d'adresse fixée sur le serveur) aux machines qui en font la demande. Une adresse IP dynamique est allouée pour un certain temps, appelé «bail». Pour renouveler le bail, sous windows, lancer la commande «ipconfig /renew», sous linux, «dhclient». 19)Capturez une communication Telnet entre deux ordinateurs. Utilisez un filtre pour isoler cette communication. Mettre en évidence les phases de connexion, d'acquittement et de communication utile. Illustrer sur un graphique le protocole de chacune des couches impliquées. Extraire les informations tapées par la personne qui a lancé la commande telnet et les réponses de la machine. A votre avis, quel est l'ordinateur client? L'ordinateur serveur? Entrer le filtre «telnet» pour isoler le trafic de ce protocole. Le protocole telnet utilise le protocole TCP pour s'assurer de la fiabilité des transferts de données. La communication utile est donc précédée d'une «poignée de main en trois étapes» («three-way handshake»). Pour suivre la connexion TCP dans son ensemble, utiliser la fonction «follow TCP stream» d'ethereal disponible dans le menu «analyse». Chaque caractère de la communication telnet est encapsulé dans un segment TCP, lui-même devenant la charge utile d'un paquet IP envoyé dans une trame ethernet. Le serveur est la machine qui reçoit le message telnet. Le client est la machine sur laquelle la commande telnet a été lancée et le message envoyé.