Linuxi võrgutamine. Harjutus 1 Sildamine Linuxis. Kõik vajalik, nagu ikka, Avalik/linuxiadmin-septer

Transcription

1 Linuxi võrgutamine Kõik vajalik, nagu ikka, Avalik/linuxiadmin-septer Harjutus 1 Sildamine Linuxis Ettevalmistus. Tee ettevalmistus ära ja jää ootama loengu alguse DEMO ja SELGITUST sama harjutuse kohta. Kaugõppurid vaatavad videot. DEMOVIDEO Kasutame VM tõmmiseid grub-fix-small, vajalik on importida tõmmis 3 korda, nii et tekiks 3 VMi. Impordil pane "linnuke" kasti " reinitialize MAC addresses... Enne Virtuaalarvutite kävitamist tee järgmised muudatused. 1. Nimeta arvutid ümber "S(erver)1" ja S(erver)2 (settings-general) ja B1 2. Lisa mõlemale VMile võrguadatper Adapter2 S1 intnet1 (nime kastis saad seda muuta), S2, intnet2 3. Lisa B1 2 võrguadapterit Adapter2 intnet1 ja Adapter3 intnet2 4. Võid muuta kõigi 3 arvuti esimese võrguadapteri seadetest muuda server2 "port forwarding" host port Nii, et ei tekiks kattuvusi. Näiteks B1 2222, S1 2223, S See pole otseselt vajalik, aga nii on mugavam toimetada. Nüüd on võimalik mõlemale masinale ka ssh abil ligi pääseda vastavalt ssh student@localhost ja ssh student@localhost -p 2222 NB! Pane tähele, et pordid 22 ja 222 on host-masinas hõivatud teenuse poolt ja neid ei saa kasutada. 5. Käivita kõik 3 masinat ja jää ootama DEMO (~5 min algusest) Proovi ise järele videos / demos näidatud Käivita VMid ja paranda konsoolilt hostnamed. S1 hostname S1 echo S1 > /etc/hostname Sama moodi nimeta ümber S2 ja B1 Masinas S1 ifconfig eth1 up ip addr add /24 brd + dev eth1 ping (jäta pingima) Selgitus brd + tähendab, et broadcast aadress arvutatakse võrgumaski järgi, mitte võrguklassi järgi. Masinas S2 ifconfig eth1 up ip addr add /24 brd + dev eth1 ping Pane tähele, et ping ei vasta. Miks. Sest masinad on erinevates "füüsilistes" võrgusegmentides. Katkesta ära ja pane pingima Masinas B1 lisame linuxi silla toe apt-get install bridge-utils

2 ifconfig eth1 up ifconfig eth2 up Lisame ühe linuxi silla brctl addbr br0 brctl on silla haldamise utiliit, addbr "add bridge" br0 silla nimi lisame oma sillale ühe liidese brctl addif br0 eth1 Vaatame oma sillale otsa brctl show Nüüd lisame ip aadressi. NB! pane tähele, et kui liidesed on sillatud, siis käib aadress alati silla, mitte kunagi liidese külge!!! ifconfig br0 up ip addr add /24 brd + dev br0 Vaatame S1 konsoolile ja märkame rahuldusega, et ping hakkas vastama. Nüüd lisame sillale teise liidese brctl addif br0 eth2 Vaata S1 konsolile ja märkad, et ping katkes. Vaata S2 konsoolole ja märkad, et hakkas vastama. Proovi pingida S1 S2 ja vastupidi. Tulemusteta, eks ole. Miks siis õppejõul täpselt sama asi õnnestus. Viga ei ole Teis, te olete silla teinud absoluutselt õigesti, viga on VirtualBoxi võrgupinus, mis ongi lihtsalt vigane. Mida sellest harjutusest õppida mõnikord on nii, et te teete kõik aboluutselt õigesti, aga asjad ei tööta, sest kusagil riist- või tarkvaras pesitseb teist sõltumatu viga. Sobilk on pomiseda paar vandesõna VB aadressil. Tee masinatele shut down, kustuta ära B1. S1 ja S2 võid kasutada põhjana Harjutus2 juures. Harjutus 2 Linux bonding Kasutame VM tõmmiseid grub-fix-small, vajalik on importida tõmmis 2 korda, nii et tekiks 2 VMi. Impordil pane "linnuke" kasti " reinitialize MAC addresses... Enne Virtuaalarvutite kävitamist tee järgmised muudatused. 1. Nimeta arvutid ümber "S(erver)1" ja S(erver)2 (settings-general) 2. Sea mõlemale VMile lisaks 2 võrguadatperit Adapter2 "intnet1" ja Adapter3 "intnet2" 3. Võid muuta kõigi 3 arvuti esimese võrguadapteri seadetest muuda server2 "port forwarding" host port Nii, et ei tekiks kattuvusi. Näiteks B1 2222, S1 2223, S See pole otseselt vajalik, aga nii on mugavam toimetada. Nüüd on võimalik mõlemale masinale ka ssh abil ligi pääseda vastavalt ssh student@localhost ja ssh student@localhost -p 2222 NB! Pane tähele, et pordid 22 ja 222 on host-masinas hõivatud teenuse poolt ja neid ei saa kasutada.

3 Nagu ikka käivad meie tegevused juurkasutaja (root) õigustes. Käivita VMid ja paranda konsoolilt hostnamed. S1 hostname S1 echo S1 > /etc/hostname Sama moodi nimeta ümber S2 Kes soovib copy-paste võimalusi kasutada võib nüüd ssh ühenduse peale üle kolida. Linux bond Väga põhjalik manuaal on saadaval sellelt lingilt Veendume, et VMid on õigesti seadistatud. Utiliidi ifconfig v. ip abil veendu, et mõlemas süsteemis on olemas 2 konfigureerimata võrguadapterit eth1 ja eth2. S(erver)1 Aktiveerime kerneli mooduli, mis tagab meile bondingu toe modprobe bonding mode=802.3ad Pane tähele parameetrit "mode" seda ei tohi unustada, vaikimisi seatakse moodul režiimi balancerr 0, mis meile ei sobi. Paigaldame bondingu jaoks vajaliku utiliidi apt-get install ifenslave Enne seadistamise kallale asumist võtame mõlemad liidesed maha. (Kui juba ei ole). Ifenslave ei tööta, kui liidesed on üleval. ifconfig eth1 down ifconfig eth2 down Loome bondi nimega bond0 kuhu seome liidesed eth1 ja eth2 ifenslave bond0 eth1 eth2 Vaatame üle (tuleta meelde sysfs teenuste loengut), kuidas meie bond süsteemi jaoks välja näeb töörežiim cat /sys/class/net/bond0/bonding/mode cat /sys/class/net/bonding_masters Kui kõik õnnestus, siis peaks teile otsa vaatama umbes selline pilt

4 Lõpuks toome selle liidese üles ka ifconfig bond0 up Paneme nüüd server1 hetkeks kõrvale ja võtame ette server2. Seal tegutseme veidi teistmoodi. apt-get install ifenslave Oma-Lemmik-Tekstiredaktoriga ava /etc/network/interfaces ja sõnu sinna sedasi (eth0 konfiguratsioon jäta paika) auto eth1 iface eth1 inet manual auto eth2 iface eth2 inet manual auto bond0 iface bond0 inet manual slaves eth1 eth2 bond_miimon 100 bond_mode 802.3ad Tee võrguteenustele restart. Kui selle peale ssh-st välja kukkusid, siis logi konsoolilt sisse ja tee dhclient eth0 pärast seda saad uuesti ssh-d kasutada. Võrguteenuse taaskäivitamise ajal VÕIB server1 konsoolile ilmuda nurinat valesti töötava bond0 teemal. Võid ka ise veateateid vaadata käivtades server1 peal käsu dmesg Käivita bond0 ifconfig bond0 up Järgnevalt võiksime vaadata, milline on bondingu staatus cat /proc/net/bonding/bond0 Õige konfiguratsiooni korral peaksid nägema sellist pilti.

5 Veel üks võimalus aru saada, kas bonding töötab õigesti, on vaadata ifconfig väljundit mõlema "slave" liidese RX ja TX peavad tasapisi suurenema. Enne kui läheme edasi, paneme tähele, et Server1 tehtud muudatused EI OLE persistentsed. Me tegime need käsurealt ja rebooti nad üle ei ela. Selleks, et Server1 võrgukonff säiliks, tuleb selle võrguliideste konfiguratsiooni samuti lisada auto eth1 iface eth1 inet manual auto eth2 iface eth2 inet manual auto bond0 iface bond0 inet manual slaves eth1 eth2 bond_miimon 100

6 bond_mode 802.3ad Kui vaatad käsu dmesg väljundit, siis VÕID näha seal selliseid veateateid. [ ] bonding: bond0: An illegal loopback occurred on adapter (eth1) Check the configuration to verify that all adapters are connected to 802.3ad compliant switch ports Jällegi, teie tegite kõik õigesti, jukerdab VBoxi võrgupinu. Vaatame, kuidas elu layer3 peal edeneb. Ütle server1 ip addr add /24 brd + dev bond0 S2 ip addr add /24 brd + dev bond0 Vaatamata kerneli nurinale (kui tuleb) peab olema võimalik pingida server1 server2 ja vastupidi. Teeme nüüd bondi ringi sellisesse režiimi kus meil on vahel "rumal" kommutaator, mis ei oska 802.3ad-d rääkida. muuda Server1 ja Server2 võrguliideste konfiguratsioon alljärgnevalt Server1 auto bond0 iface bond0 inet static slaves eth1 eth2 bond_miimon 100 bond_mode 6 address netmask Server2 auto bond0 iface bond0 inet static slaves eth1 eth2 bond_miimon 100 bond_mode 6 address netmask Mida me siis muutsime. Esiteks lisasime liidesele staatilise IP aadressi ja teiseks seadsime bondi adaptive-load-balancing töörežiimi. Lihtsuse mõttes tee mõlemale serverile restart. Kui eth0 dhcp jälle jukerdab (Virtualbox võrgu eripärad), siis peale restarti konsoolilt dhclient eth0 vaata cat /proc/net/bonding/bond0 pingi ühest masinast teist ja vastupidi. Jälgi, et suureneks eth1 kui eth2 saadetud ja vastu võetud pakettide loendur. Kui tegid kõik õigesti on sul nüüd kenasti töötav liiasusega ja koormuse jaotusega ühendus kahe "serveri" vahel. Harjutuse eduka sooritamise järel on sinu võrgu topoloogia selline.

7 Mida sellest ülesandest kõrva taha panna 1. bondi saab seadistada nii "lennult" käsureautiliitidega, kui seadetefaili kaudu 2. lennult tehtud seaded ei ole persistentsed, aga vahel on vaja mõnda kriitilist süsteemi "käigu pealt" ringi seadistada (restarti ja isegi võrguteenuse restarti teha ei tohi), sellisel juhul on abik selline käigu pealt seadistamine 3. Alati kui see on tehniliselt võimalik, kasuta 802.3ad (ära unusta, et see ühendus tuleb ka kommutaatori poolt seadistada) 4. "lollkommutaatorite" ja meie emulatsioonikeskkonna jaoks sobivad režiimid balance-tlb or 5 Adaptive transmit load balancing: channel bonding that does not require any special switch support. balance-alb or 6 Adaptive load balancing: includes balance-tlb plus receive load balancing (rlb) for IPV4 traffic, and does not require any special switch support. Need režiimid ei vaja küll kommutaatori poolset tuge, aga nagu igasugune "tarrkvaraline võrgutamine" koormavad sellevõrra rohkem arvutit. Harjutus 3 Võrgusegmentide vaheline marsruutimine Vajalikud imaged grub-fix small.ova vyos.ova Impordil pane "linnuke" kasti " reinitialize MAC addresses... Ettevalmistus Algatuseks on kohane poetada veel paar inetut sõna VB aadressil, mis ei suuda importida/exportida töötavat VyOS imaget ja siis teha nii: Loo uus masin nimega vyos Os: Other64bit linux, mälu 512, ketas 1GB, Adapter1 NAT, Adapter2 intnet1 Adapter3 intnet2 Monteeri kettaseadmesse vyos amd64.iso käivita VM Edasi võid tegutseda "live" plaadilt, aga siis ei saa konfiguratsiooni salvestada. Kui soovid hiljem edasi töötada, siis peale booti login vyos vyos install system Vasta kõigile vaikepakkumistele jaatavalt, jäta kasutajanimi ja parool samaks vyos/vyos installi lõppedes tee masinale restart ja jälgi, et booditaks kõvakettalt.

8 Lisaks on vajalikud veel 2 grub-fix-small klooni (kui oskad "puhastada" siis löö eelmises harjutuses tehtud konffid maha ja kasuta neid, kui ei oska, klooni uuesti) Võrugu konff S1 Adapter1 intnet1 S2 Adapter1 intnet2 Boodi S1 ja S2 üles. tapa maha DHCP klient (kui vaja) ps -Af grep dhclient kill PID Kus pid on see PID number, mille sa ps väljundist leiad. Omista mõlemale masinale oma-lemmik-töövõtet kasutades IP aadressid S /24 S /24 Nüüd läheb huvitavaks. Võta ette vyos masin. See on samuti linux, aga spetsiaalselt võrguteenuste (marsruutmine, NAT, tulemüürimine) jaoks kohaldatud distro. Selle konffimine on mõnevõrra teist moodi, aga pane tähele, et TAB completion töötab ka siin suurepäraselt ja neid pikki "jorusid" ei pea käsitsi ümber kirjutama. (Osavamad likvideerivad pordikonflikti nagu eelmistes harjutustes ja saavad kasutada ka ssh-d) VyOS configure sh interfaces set interfaces ethernet eth0 address dhcp commit ip addr ping neti.ee set interfaces ethernet eth1 address /24 commit Ping S1 > router, Mis juhtub? set interfaces ethernet eth2 address /24 S1 Ping S2 Mis juhtub? Miks ei õnnestu :) Sest S1 ei tea sellest marsruuterist veel midagi. Vajalik on default-route. S1 ip route add default via S1 ping

9 VyOS debuugime. Selleks kasutame paketianalüsaatorit tshark (eriti võimas vahend ja adminni Kõige Suurem Sõber võrguasjades) (tshark sessiooni katkestamiseks CTRL C) tshark -i eth1 näeme, et pakett tuleb sisse tshark -i eth2 näeme, et pakett läheb ka välja õige liidese pealt Milles siis küsimus? Loomulikult selles, et S2 on määramata gw mille kaudu vastata. Ta ei tea midagi /24 võrgust. Väga tüüpiline viga võrkude seadistamisel. Tehakse route "kusagile" aga unustatakse ära, et seal "kusagil" tuleb teha ka route tagasi. lisame S2 route (NB! mitte default seekord) ip route add /24 via vaatame S1 konsoolile ping hakkas vastama Proovi ka S2 pingida S1. Töötab? Voila, kahe võrgu vahel ühendus loodud. Pane tähele, et see on nüüd 2 füüsilise võrgusegmendi (L2) vaheline marsruuditud ühendus (L3) ja erineb seetõttu esimeses harjutuses tehtust. Võtame uuesti ette S1 ping (jäta tööle) Ei tööta. Debugime VyOS tshark -i eth1 tshark -i eth0 Tuleks nagu õige liidese pealt välja ja läheks nagu laia maailma ka. Aga mis valesti on? Meie mõistes "välise" liidese peale lähevad privaataadresside ruumist pärineva aadressiga paketid. Loomulikult ei oska VirtBox NAT nendega enam midagi mõistlikku peale hakata ja viskab nad minema. Seega tuleb seadistada snat ehk source NAT (lähteaadresside transleerimine) set nat source rule 10 source address /12 Transleerime KÕIK B klassi alamvõrgud set nat source rule 10 translation address masquerade Kasutame välise liidese aadressi (kui meil oleks FIX IP mitte DHCPga saadu siis pannakse siia

10 loomulikult liidese IP) set nat source rule 10 outbound-interface eth0 Lõpuks ütleme veel, millisele väljuvale liidesele see reegel kehtib commit Vaatame taas S1 konsooli. Ping hakkas vastama! Proovi ka S2 pingida Kas õnnestub? IP alias vs. VLAN 802.1q Võrke on võimalik segmenteerida nii L3 (erinevad alamvõrgud) kui L2 tasmel (VLAN või segmendid) neid kahte kontseptsiooni ei tohi segamini ajada. Vaatleme seda protsessi lähemalt. IP alias S2 lisame IP aliase ifconfig eth0: netmask up ping VyOS set interfaces ethernet eth2 address /24 commit Veendu S2 aknas, et ping hakkas vastama. Ava S2 aknas teine konsool (alt F2), logi sisse ja käivita ping VyOs käivita tshark tshark -i eth2 Mida näed väljundist. Näed, et ühe liidese peal liiguvad 2 erinevasse IP alamvõrku kuuluvad paketid. Järgnevalt lisame VLAN liidese S2 katkesta kõik pingid ja lisa VLAN tugi modprobe 8021q

11 Vlanide haldamiseks on utiliit vconfig. Parku seda vaikepaigalduses ei ole. Seega peame kõigepealt taastama ühenduse internetiga. Lisa vaike lüüs ja nimeserver ip route add default via echo nameserver > /etc/resolv.conf Nüüd saate apt abil paigaldada vconfig utiliidi apt-get install vlan Lisame selle abil ühe uue L2 liidese. vconfig add eth0 2 Käsk tekitab virtuaalse L2 liidese, mis hakkab eetrikaadreid märkima märgendiga 2 (VLAN nr 2) (me ei kasuta TAGi 1, kuna see kuulub nn. "default VLANile ja selle kasutamine on pea alati ebasoovitav) ifconfig eth0.2 up Vaata käsu ifconfig väljundit. Millist erinevust märkad? Mis on eth0:0 ja eth0.2 erinevus? anname liidesele aadressi ip addr add /24 brd + dev eth0.2 S2 peal pane ühes konsoolis marsruuteri poole teele ping ja teises ping VyOS set interfaces ethernet eth2 vif 2 commit set interfaces ethernet eth2 vif 2 address /24 commit Veendu S2, et ping hakkas vastama VyOS käivita tshark tshark -i eth2 Näed mõlemasse võrku kuuluvad ping pakette ja vastuseid tshark -i eth2.2 Näed ainult VLAN2 kuuluvad ping pakette ja vastuseid.

12 Kui tegid kõik õigesti, oled edukalt loonud virtuaalse kohtvõrgusegmendi. Harjutuse eduka läbimise korral on sinu võrgu topoloogia selline. (Vabandust, joonistasin) Võrgus on 2 "füüsilist" L2 segmenti (intnet1, intnet2), üks virtuaalne segment VLAN2. L3 (IP) tasemel on kokku 4 IP alamvõrku. KODUNE ÜLESANNE / LISAÜLESANNE Veendu, et VyOS on tegelikult tavaline linux, millele on lisatud kest (shell), mis on orienteeritud spetsiaalselt marsruuter-tulemüüri ülesannete seadistamiseks. Proovi tavalisi linuxi käske sudo ifconfig sudo route sudo ip addr sudo iptables -L Nagu näed, on võrgu-kesta all tegelikult üsna standardne liinuks. Pane tähele, et (peaaegu) kõik harjutses tehtud muudatused on mitte-persistentsed, ehk ei ela üle alglaadimist. VyOS muutuste salvestamiseks kasuta käsku "save" Mõtle välja millistesse seadistustefailidesse ja mida peab kirjutama, et kõik harjutuse käigus tehtud muudatused oleks persistentsed, ehk peale alglaadimist alles.

13 Saada õppejõule enne järgmise loengu toimumist S1, S2 failid /etc/network/interfaces sisuga ja VyOS fail /config/config.boot NB! Eriti oluline on just S2 seadistuste fail. Võimalik teenida 1 punkt.