Linuxi võrgutamine II

Transcription

1 Linuxi võrgutamine II Virtuaalarvutitõmmised Avalik/septer-linuxiadmin Kui eelmisest (edukalt sooritatud) harjutusest on jäänud VM-id alles, oleks soovitav need seagduse vältimiseks (ja kettaruumi säästmiseks) kustutada. Linux bonding I Väga põhjalik linux bonding manuaal on saadaval sellelt lingilt Kasutame VM tõmmist, vajalik on importida tõmmis 2 korda, nii et tekiks 2 VMi. Impordil pane "linnuke" kasti " reinitialize MAC addresses... Enne käivitamist seadista mõlema arvuti võrguavõrguadapterid järgnevalt (ole tähelepanelik, kui siin eksid läheb kogu harjutus untsu) 1. Adapter1 NAT 2. Adapter2 "Internal network" intnet1 3. Adapter3 "Internal network" intnet2 4. Võid kõigi virtuaalarvutite esimese võrguadapteri seadetest seadistada "port forwarding". Host port sinu poolt vabalt valitud port >1024, guest port 22. Host portide osas ei tohi tekkida kattuvust, see peab igal virtuaalarvutil olema erinev (näiteks 2222,2224 jne.). Nüüd on võimalik virtuaalarvutitele ka ssh abil ligi pääseda (näiteks: ssh student@localhost -p 2222) Nagu ikka käivad kõik tegevused juurkasutaja (root) õigustes. Käivita VMid Veendume, et VMid on õigesti seadistatud. Utiliidi ip abil veendu, et mõlemas süsteemis on olemas 2 konfigureerimata võrguadapterit eth1 ja eth2. Aktiveerime kerneli mooduli, mis tagab meile bondingu toe modprobe bonding mode=802.3ad Pane tähele parameetrit "mode" seda ei tohi unustada, vaikimisi seatakse moodul režiimi balancerr 0 Paigaldame bondingu jaoks vajaliku utiliidi apt-get install ifenslave Enne seadistamise kallale asumist võtame mõlemad liidesed maha. (Kui juba ei ole). Ifenslave ei tööta, kui liidesed on üleval. ip link set dev eth1 down ip link set dev eth2 down Loome bondi nimega bond0 kuhu seome liidesed eth1 ja eth2 ifenslave bond0 eth1 eth2

2 Vaatame üle (tuleta meelde sysfs teenuste loengut), kuidas meie bond süsteemi jaoks välja näeb töörežiim cat /sys/class/net/bond0/bonding/mode cat /sys/class/net/bonding_masters Kui kõik õnnestus, siis peaks teile otsa vaatama umbes selline pilt Lõpuks toome selle liidese üles ka ip link set dev bond0 up Huvitavat infot selle kohta, kuidas bond ennast tunneb, näeb ka käsuga dmesg. Jätame selle masina hetkeks rahule ja vaatame järgmist. _1 Siin tegutseme veidi teisiti. Kui esimeses masinas olid meie seaded mittepersistentsed, siis siin seadistame sama asja persistentselt, /etc/network/interfaces faili. apt-get install ifenslave Oma-Lemmik-Tekstiredaktoriga ava /etc/network/interfaces ja sõnu sinna sedasi (eth0 konfiguratsioon jäta paika) auto eth1 iface eth1 inet manual auto eth2 iface eth2 inet manual auto bond0 iface bond0 inet static address netmask slaves eth1 eth2 bond_miimon 100 bond_mode 802.3ad service networking restart Tee võrguteenustele restart. (Kui selle peale ssh-st välja kukkusid, siis logi konsoolilt sisse ja tee dhclient eth0, pärast seda saad uuesti ssh-d kasutada. ) (Võrguteenuse taaskäivitamise ajal VÕIB konsoolile ilmuda nurinat valesti töötava bond0 teemal. Siis on tõenäoliselt kusagil näpukas tehtud)

3 Järgnevalt võiksime vaadata, milline on bondingu staatus cat /proc/net/bonding/bond0 Õige konfiguratsiooni korral peaksid nägema sellist pilti. Veel üks võimalus aru saada, kas bonding töötab õigesti, on vaadata ifconfig väljundit mõlema "slave" liidese RX ja TX peavad tasapisi suurenema. Kui asjad nüüd ka tööle ei lähe ja kõik seaded on üle kontrollitud, siis tõenäoliselt sai VirtualBox kipkas võrgupinu pahaseks ja lülitas virtuaalse pordi üldse välja. Abiks võib olla VM shut-down, küsi nõu õppejõult.

4 Lisame ka selle masina bondile IP aadressi ip addr add /24 brd + dev bond0 Kontrolli L3 lingi toimimist, kui tegid kõik õigesti siis töötab ping ja _1 vahel (aadressid ja...100) Kui vaatad käsu dmesg väljundit, siis VÕID näha seal selliseid veateateid. [ ] bonding: bond0: An illegal loopback occurred on adapter (eth1) Check the configuration to verify that all adapters are connected to 802.3ad compliant switch ports Küsi abi õppejõult. Enne kui läheme edasi, paneme tähele, et tehtud muudatused EI OLE persistentsed. Me tegime need käsurealt ja rebooti nad üle ei ela. Selleks, et võrgukonff säiliks, tuleb selle võrguliideste konfiguratsiooni samuti lisada auto eth1 iface eth1 inet manual auto eth2 iface eth2 inet manual auto bond0 iface bond0 inet static address netmask slaves eth1 eth2 bond_miimon 100 bond_mode 802.3ad Linux bonding II Teeme nüüd bondi ringi sellisesse režiimi kus meil on vahel "rumal" kommutaator, mis ei oska 802.3ad-d rääkida. muuda ja _1 võrguliideste konfiguratsioon alljärgnevalt auto bond0 iface bond0 inet static slaves eth1 eth2 bond_miimon 100 bond_mode 6 address netmask _1 auto bond0 iface bond0 inet static slaves eth1 eth2 bond_miimon 100 bond_mode 6 address netmask

5 Mida me siis muutsime. Seadsime bondi adaptive-load-balancing töörežiimi. (Muid võimalikke töörežiime ja nende kirjeldust vaata harjutuse alguses olevalt lingilt) Lihtsuse mõttes tee mõlemale serverile restart. vaata üle bondingu staatus cat /proc/net/bonding/bond0 cat /sys/class/net/bond0/bonding/mode pingi ühest masinast teist ja vastupidi. Jälgi, et suureneks eth1 kui eth2 saadetud ja vastu võetud pakettide loendur. Kui tegid kõik õigesti on sul nüüd kenasti töötav liiasusega ja koormuse jaotusega ühendus kahe "serveri" vahel. Harjutuse eduka sooritamise järel on sinu võrgu topoloogia selline. Mida sellest ülesandest kõrva taha panna 1. bondi saab seadistada nii "lennult" käsureautiliitidega, kui seadetefaili kaudu 2. lennult tehtud seaded ei ole persistentsed, aga vahel on vaja mõnda kriitilist süsteemi "käigu pealt" ringi seadistada (restarti ja isegi võrguteenuse restarti teha ei tohi), sellisel juhul on abiks selline käigu pealt seadistamine 3. Kui see on tehniliselt võimalik, kasuta 802.3ad (ära unusta, et see ühendus tuleb ka kommutaatori poolt seadistada) 4. "lollkommutaatorite" ja meie emulatsioonikeskkonna jaoks sobivad režiimid balance-tlb or 5 Adaptive transmit load balancing: channel bonding that does not require any special switch support. balance-alb or 6 Adaptive load balancing: includes balance-tlb plus receive load balancing (rlb) for IPV4 traffic, and does not require any special switch support. Need režiimid ei vaja küll kommutaatori poolset tuge, aga nagu igasugune "tarkvaraline võrgutamine" koormavad sellevõrra rohkem arvutit. Iseseisev töö 1. Miks oli esimeses ja teises harjutuses võimalik kasutada masinast Internetti kuigi võrguliides eth0 oli liideste failis välja kommenteeritud? Võrgusegmentide vaheline marsruutimine III Kui bondingu harjutus on edukalt sooritatud, oleks mõistlik Vm-id ära kustutada ja alustada uuesti puhtalt lehelt Selle harjutuse sooritamiseks on vaja importida.ova 3 korda. Impordil pane "linnuke" kasti " reinitialize MAC addresses... Ettevalmistus. Seadista VMid järgnevalt: Ole tähelepanelik, kui seadete juures eksid, siis asjad käima ei lähe.

6 1. Impordi järjekorras saavad arvutid nimed, _1 ja Sx_ Lisa võrguadapter Adapter1 NAT 2. Lisa võrguadapter Adapter2 "Internal network" intnet1 (lisa "1" adapteri nimele) 3. Igaks juhuks uuenda mac aadress "noolekestega" nupp MAC aadressi kasti taga 4. Lisa võrguadapter Adapter3 "Internal network" intnet2 (lisa "2" adapteri nimele) 5. Igaks juhuks uuenda mac aadress "noolekestega" nupp MAC aadressi kasti taga 3. _1 1. Lisa võrguadapter Adapter1 "Internal network" intnet1 (lisa "1" adapteri nimele) 2. Igaks juhuks uuenda mac aadress "noolekestega" nupp MAC aadressi kasti taga 4. _2 1. Lisa võrguadapter Adapter1 "Internal network" intnet2 (lisa "2" adapteri nimele) 2. Igaks juhuks uuenda mac aadress "noolekestega" nupp MAC aadressi kasti taga Kuna nendes virtuaalarvutites on vaikepaigalduses network-manager, tuleb kõigepealt tagada, et network-manager meid segama ei hakkaks. Piilu faili /etc/networkmanager/networkmanager.conf sisse. Näed, et seal on stanza [ifupdown] managed=false Nutikas inimene võib sellest järeldada, et NetworkManagerile on öeldud, et kõik millega tegeleb ifupdown tuleb rahule jätta. Seega tuleb liidesed /etc/network/interfaces sees kirjeldada. Toimi järgmiselt: Kommenteeri sisse eth0, lisa eth1 ja eth2 deklaratsioonid (inet manual) _N Lisa eth0 deklaratsioon (inet manual) Näide auto eth0 iface eth0 inet manual Tee võrguteenusele restart ja igaks juhuks võid network-manageri üldse seisma panna (service network-manager stop) Omista masinatele oma-lemmik-töövõtet kasutades IP aadressid järgnevalt eth0 dhcp eth /24 eth /24 _1 eth /24 _2 eth /24 Kontrolli seadete õigsust! Hetkel peab olukord olema selline: Ping ja _1 vahel toimib! Ping ja _2 vahel toimib! Ping _2 ja _1 vahel toimi!

7 Viimane on ka täiesti loomulik, sest esialgu nende võrgusegmentide vahel marsruutimist ei toimu. Lülitame peal sisse marsruutimise (pakettide edastus ühest võrgusegmendist teise) sysctl net.ipv4.ip_forward Näeme vastuseks, et ip4 marsruutimist ei tehta. (0) Lülitame sisse: sysctl -w net.ipv4.ip_forward=1 Proovime nüüd arvutist _1 pingida _2. Saame veateate Network is unreachable. (osa juba taipab miks), aga proovime natuke debuugida. Selleks kasutame paketianalüsaatorit tshark (eriti võimas vahend ja adminni Kõige Suurem Sõber võrguasjades) (tshark sessiooni katkestamiseks CTRL C) _1 ei tea loomulikult võrgust mitte midagi. Õpetame talle siis tee sellesse võrku selgeks. _1 ip route add /24 via Proovi uuesti pingida. (jäta ping tööle!) Nagu näeme vastust ikka ei tule. (Nutikamad juba teavad, miks) Poovime siiski natuke debuugida. Paigaldame võrguanalüsaatori ja mõned tööriistad. apt-get update apt-get install tshark screen käivita screen, see on tekstirežiimi aknahaldur millega on võimalik mitu konsooli lahti võtta. Uue akna tegemiseks CTRL+a,c. Ekraanide vahel liikumiseks on CTRL+a,n screen tshark -i eth1 uus aken (CTRL+a,c) tshark -i eth2 Me näeme, et ping pakett tuleb sisse õige liidese kaudu ja näeme, et pakett läheb ka välja õige liidese pealt. Aga vastust ei tule. Milles siis küsimus? Loomulikult selles, et _2 on määramata gw mille kaudu vastata. Ta ei tea midagi /24 võrgust. See võib tunduda triviaalne, aga kahjuks on väga tüüpiline viga võrkude (staatilise marsruutingu) seadistamisel. Tehakse route "kusagile" aga unustatakse ära, et seal "kusagil" tuleb teha ka route tagasi. Lisame _2 ka route (Aga seekord default route, mis ütleb, et kõik võrgud millest sa midagi ei tea, suuna marsruuterile) ip route add default via vaatame _1 konsoolile ping hakkas vastama Proovi ka _1 pingida _2. Töötab? Voila, kahe võrgu vahel ühendus loodud. Pane tähele, et see on nüüd 2 füüsilise võrgusegmendi (L2) vaheline marsruuditud ühendus (L3) ja erineb seetõttu esimeses harjutuses (sildamine) tehtust.

8 Ka see võib tunduda triviaalne, aga väga paljud imelikud võrguprobleemid lahenevad niipea kui määrata õige vaikelüüs õige võrgumaskiga. Päris elus eksitakse kahjuks liigagi palju selle vastu. Võtame uuesti ette _2 (eelnevalt katkesta ping _1 peal, kui see on tööle jäänud) ping (jäta tööle) Ei tööta. Debugime Lisa veel üks screen aken ja tee seal tshark -i eth0 tshark -i eth0 Tuleks nagu õige liidese pealt välja ja läheks nagu laia maailma ka. Aga mis valesti on? Meie mõistes "välise" liidese peale lähevad privaataadresside ruumist pärineva aadressiga paketid. Loomulikult ei oska VirtBox NAT nendega enam midagi mõistlikku peale hakata ja viskab nad minema. (tshark logis näed ka seda, et VirtualBox NAT püüab meelehetlikult ARP abil IP-d MAC aadressiks lahendada) Seega tuleb seadistada snat ehk source NAT (lähteaadresside transleerimine) Jäta oma tsharkid tööle, tee screenis uus aken ja... NATiga tegeleb Linuxis pakett iptables. Tegelikult on iptables lihsalt adminni utikas linuxi kerneli tulemüüri netfilter seadistamiseks. Netfilter võimaldab paketifiltri, võrguaadresside transleerimise (NAT) pordi transleerimise (PAT) ja veel mõnesid teenuseid. Meid huvitab esialgu ainult snat. Lisa screeni veel üks aken ja sisesta järgmine käsk iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE Mida see teeb. Tabelisse nat lisatakse kirje, et pärast marsruutimisotsuse tegemist tuleb pakettidele, mis on määratud väljuma liidese eth0 kaudu tuleb sooritada aadressi transleerimine. Masquerade ütleb, et selleks tuleb kasutada liidese eth0 aadressi. Kuna eth0 saab aadressi DHCP käest, siis tuleb seda just nii teha. Eth0 staatlise IP kasutamise korral oleks käsu süntaks järgmine ## Change source addresses to # iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to Vaatame taas _2 konsooli. Ping hakkas vastama! (Kui ei hakka, siis võib olla vajalik ping korraks katkestada ja uuesti käivitada, kui siis ka ei hakka, küsi abi) Oledki ehitanud linuxi baasil lihtsas seades marsruuteri. Iseseisev töö 2. Proovi kolmanda harjutuse masinas _1 pingida Kas õnnestub? Aga kui määrata vaikelüüs? 3. Vaata kolmanda harjutuse masina konsoolilt tshark logisid. Milline on PING paketi aadressi marsruuterisse sisenemisel Kuidas muutub ICMP paketi lähteaadress eth0 liidesest väljumisel?