Volledig netwerk, Open Source tools geven je de mogelijkheid om netwerkconfiguraties. Virtuele routers in User-mode Linux

Transcriptie

1 LM0204PZEBRAweb.qxd :32 Pagina 18 N e t w e r k e n Volledig netwerk, Virtuele routers in User-mode Linux Het testen van verschillende routing configuraties kan meestal alleen met behulp van een uitgebreid netwerk. Testen in een productieomgeving is echter uitgesloten, omdat dit de productie kan verstoren. Niet iedereen heeft echter een voorraad Cisco routers over, om een testomgeving op te bouwen. Op dat moment is User-mode Linux een oplossing. Open Source tools geven je de mogelijkheid om netwerkconfiguraties te testen die eerder enkel in uitgebreide netwerken mogelijk waren. Zebra is een bekende RIP/OSPF/BGP router daemon die een CLI (Command Line Interpreter) configuratie interface aanbiedt vergelijkbaar met de IOS van Cisco. In dit artikel beschrijven we hoe je met User-mode Linux op een eenvoudige manier een compleet OSPF netwerk kunt testen met behulp van één enkele PC. Redundant Netwerk In veel netwerken wordt enkel statische routering ingezet, maar in grote netwerken met veel subnets neemt het configureren van de routering zoveel werk in beslag dat een dynamische routering infrastructuur noodzakelijk wordt. Met behulp van dynamische routering zorgen we dat alle routers automatisch hun routering updaten, zodat manueel herconfigureren na topologie veranderingen overbodig wordt. Met deze automatische herconfiguratie kunnen we ook voor redundantie in een netwerk zorgen. In een redundant netwerk zorgen backup routers en links ervoor dat er meerdere routes mogelijk zijn tussen eindbestemmingen, zodat een falende router met een alternatieve route kan worden opgevangen. Dit kunnen we nu gemakkelijk bekijken met behulp van Zebra, zonder een fysiek netwerk te hoeven bouwen. Voorbeeldnetwerk Afbeelding 2 toont het netwerk wat we gaan testen. Zoals je ziet nemen we een behoorlijk uitgebreid netwerk als uitgangspunt. We gaan uit van een netwerk van twee bedrijven die zojuist gefuseerd zijn. Het bestaat dus in feite uit twee netwerken die aan elkaar gekoppeld zijn. Het bestaat uit een dubbele area 0, gekoppeld met virtuele links. Aan elk van de 2 area 0 netwerken worden 2 stub -area's aangesloten. Dit netwerk bestaat uit 4 stub area's (Area 2010, 2020, 3010 en 3020) die aansluiten op een gesplitste area 0 die met virtuele links over Area 50 met elkaar verbonden zijn. De IP subnetten in deze area's komen overeen met het area nummer. Op de redundante netwerken hebben we er verder voor gezorgd dat de IPadressen van de routers boven en links eindigen op 1 of op 2, en dat de IP-adressen van de routers onder en rechts eindigen op 5 of op 6. Hierdoor kun je in een traceroute onmiddelijk het pad herkennen waarlangs deze passeert. Zebra Zebra is een route daemon die het mogelijk maakt om RIPv1, RIPv2, RIPng, OSPFv2, OSPFv3, BGP-4 en BGP-4+ route protocollen te draaien op een Linux netwerk. Dit pakket bestaat uit een centrale zebra daemon, en voor ieder protocol een route daemon. Voor OSPF is dit ospfd. Configureren kan door middel van configuratiefiles, maar als ze eenmaal zijn opgestart is het ook mogelijk om iedere route daemon met een telnetsessie te herconfigureren. De CLI interface is wat betreft route configuratie bijna identiek met de IOS shell van Cisco. Een voorbeeld: om ospf te configureren start je een telnet sessie op het loopback adres op het poort ospfd (geregistreerd in /etc/services). Na het inloggen typ Distance-Vector versus Link-State routing IIn de netwerkwereld wordt een onderscheid gemaakt tussen distance-vector en link-state routing. In distance-vector routing (zoals RIP) worden de subnets in naam van de elke tussenliggende router bekend gemaakt, terwijl in linkstate routing (zoals OSPF) met het Dijkstra algoritme de SPF (Shortest Path First)- topologie van het netwerk wordt opgesteld. Het Dijkstra algoritme zorgt ervoor dat het kortste pad wordt gevonden tussen twee routers, zonder dat er lussen worden gevormd (ook wel routing loops genoemd). Link-state route protocols hebben het voordeel dat ze sneller convergeren. Dit wil zeggen dat ze sneller hun optimale route configuratie bereiken. Een nadeel van Link-state routing is de grotere geheugen en processor belasting voor de routers. 18

2 LM0204PZEBRAweb.qxd :32 Pagina 19 1 PC Auteur: Jurgen Kobierczynski [ Workshop ] Commando's Dit is kort samengevat enkele van de vele commando's die je kunt gebruiken om te navigeren en om de OSPF status op te vragen onder Zebra: Onder de CLI van zebra & ospfd: enable: om de privileged mode te bereiken show running-config: toon de configuratie disable: om terug in user mode te raken configure terminal: om te herconfigureren exit: om de herconfiguratie te verlaten Onder de CLI van zebra: show ip route: toon de routing tabel Onder de CLI van ospfd: show ip ospf database: OSPF linkstate database show ip ospf interface: OSPF interface status show ip ospf neighbor: OSPF router buren show ip ospf route: OSPF route tabel 9AFBEELDING 1 Een UML virtuele machine in een x-term je enable om de privileged-mode te bereiken, om daarna met show run de ospf-configuratie van Zebra op te roepen. Met exit of Ctrl-D verlaat je de privileged-mode om terug in de user-mode te komen. Voor Cisco kenners is dit niets nieuws onder de zon. Nu vraag je je natuurlijk af hoe we een compleet OSPF netwerk willen gaan draaien op één enkele Linux PC. Niet alleen moet je hiervoor meerdere Zebra daemons draaien, maar je moet voor elke daemon ook verschillende IP-adressen op verschillende interfaces configureren, en de juiste interfaces met elkaar verbinden. Dit lijkt een onmogelijke taak, maar dankzij User-mode Linux is het wel degelijk mogelijk. User-mode Linux User-mode Linux (UML) is een speciale linux kernel als userspace programma gecompileerd om te draaien in de vorm van een virtuele linux machine op een bestaande linux machine. Dit userspace programma beheert zijn eigen processen en mount zijn eigen filesystem. Hiermee kunnen we meerdere Zebra daemons draaien elk onder hun eigen UMLmachine. Dat lijkt zo heel simpel, maar om het zover te kunnen laten komen moeten we eerst antwoord krijgen op een aantal vragen. Tussen de verschillende UML-machines moeten we verschillende netwerkverbindingen opzetten. Hoe definiëren we de interfaces? Hoe stellen we de IP-adressen op deze interfaces in? En hoe zorgen we ervoor dat een interface van een bepaalde UML-machine verbinding heeft met een interface van een andere UML-machine? Verder moeten we op iedere UML-machine een andere Zebra configuratie opzetten. Als elke UMLmachine een andere netwerk en Zebra configuratie moet krijgen, dan moet elke UML-machine de beschikking hebben over zijn eigen filesysteem. Als we een mini UML-Linux distributie met een filesysteem van 600 Mb gebruiken, dan zouden we voor het starten van de 20 UMLmachines om dit OSPF-netwerk te draaien liefst 12Gb schijfruimte nodig hebben! Hoe doen we dat op kleiner systeem? Gelukkig zijn op al deze vragen antwoorden voorhanden. COW Voor het probleem van de enorme schijfruimte die nodig is heeft UML in ieder geval een oplossing: Copy-On-Write (COW) blockdevices. Hiermee kan elke UML-machine hetzelfde filesysteem image read-only 19

3 LM0204PZEBRAweb.qxd :32 Pagina 20 N e t w e r k e n OSPF OSPF is de belangrijkste link-state routing protocol in TCP/IP. Omdat OSPF in een groot netwerk gebruikt moet kunnen worden, moest dit routing protocol schaalbaar ontworpen worden. Daarom wordt een OSPF-netwerk in area's verdeeld. Het Dijkstra algoritme wordt enkel binnen een enkel area uitgevoerd. Binnen elke area wordt op ieder netwerksegment een Designated Router (DR) en een Backup Designated Router (BDR) geselecteerd. Bij een routing update krijgen alle routers door middel van flooding vanuit de Designated Routers een up-to-date link-state database, waarna ze hun routing tabellen updaten. Omdat er meerdere netwerksegmenten in een area kunnen zijn, zijn er dus ook meerdere DR's en BDR's. Deze funktie wordt dus niet zozeer aan een router toegewezen. mounten, en de blok schrijfoperaties voor elke UML-machine in een eigen bestand bewaren. Deze COW-filesysteem bestanden nemen veel minder schijfruimte in beslag dan de orginele files. Voor het verbinden van de interfaces tussen de UML-machines wordt gebruikt gemaakt van switch -daemons. Iedere UML-machine communiceert via deze switch-daemons met andere UML-machines alsof het een gewone connectie via een switch betreft. Iedere UML-machine heeft voor elke connectie een interface, die met ifconfig kan worden geconfigureerd. NetKit Het lijkt natuurlijk erg complex om dit allemaal zelf te configureren, maar hier is goed nieuws te melden: Dit is alles kant-en-klaar te downloaden van het Internet! NetKit is een mini UML-distributie die dit alles van te voren geconfigureerd heeft en waarvan de laatste versie te downloaden is op de website Op het moment van schrijven bedroeg de download (netkit-1.3.tar.bz2) 78 Mb, maar eenmaal uitgepakt komt een debian filesysteem image van 600Mb te voorschijn. Een bijhorende INSTALL.txt bevat de instructies voor de installatie van Netkit. Eerst moet je./config uitvoeren om te controleren of alle nodige tools geïnstalleerd zijn. Meestal moet je nog lsof (list open files) installeren, maar is alles verder in orde. Ten slotte moet je nog de volgende systeemvariabelen instellen in /etc/profile of.bashrc: export VLAB_HOME= (de directory van netkit) export PATH=${VLAB_HOME}/bin:${PATH} Hierna kun je met vstart pc1 new je eerste UML-machine al opstarten. Let op hoe NetKit automatisch een COW-file pc1.disk in de huidige directory creëert bij het starten van de virtuele machine. NetKit start een xterm-window, waarin een klassieke Linux bootprocedure verschijnt, waarna je met als usernaam en paswoord root kunt inloggen. Netkit is voorzien van de Zebra route daemon, maar ook van andere netwerktools, zodat je hiermee ook andere dingen zoals firewalls mee kunt uittesten. Ok, we kunnen nu UML virtuele machines opstarten, maar we moeten voor iedere machine de nodige interfaces definiëren, de IP-adressen en de configuratiefiles van zebra instellen, en de switch daemons opstarten om de UML machines met elkaar te verbinden. Dit zou een aanzienlijke hoeveelheid werk opleveren, zeker als we ons werk ook nog eenvoudig willen kunnen aanpassen en bewaren. Gelukkig is ook hier een oplossing voor. Scripts Alle UML machines kunnen met behulp van een script worden opgestart en geconfigureerd. Alle veranderingen kunnen worden bewaard door enkel dat script aan te passen. Het is voor een gebruiker redelijke eenvoudig om zelf scripts te schrijven voor het testen van een eigen netwerkconfiguratie. Op de NetKit website zijn verschillende scripts beschikbaar, maar wij gebruiken een andere. Het script voor het OSPF-netwerk staat op mijn website onder: Start de script met de volgende manier: host:~$./ospf-test2 start (halt om te stoppen) Enkele seconden nadat de laatste UML-machine opgestart is, moeten alle hosts hun routing tabellen hebben geupdate, zodat iedere host elke andere host kan bereiken. Dit gaan we controleren door met traceroute de route te checken tussen 2 hosts van 2 verschillende stub area's. We kunnen dit bijvoorbeeld door op router 3 van area 2010 een traceroute uit te voeren naar een IP-adres op router 3 van area 3020 ( of ): 9AFBEELDING 2 Het voorbeeldnetwerk dat eigenlijk bestaat uit twee netwerken 9AFBEELDING 3 De route die wordt genomen als alle routers naar behoren werken 20

4 LM0204PZEBRAweb.qxd :32 Pagina 21 [ Workshop ] >ccpackets ms 1 ms 1 ms (area2010 router1) ms 1 ms 1 ms (area0 router1) ms 1 ms 1 ms (area50 router1) ms 2 ms 2 ms (area50 router2) ms 2 ms 2 ms (area0 router3) ms 2 ms 2 ms (area3020 router1) ms 3 ms 3 ms (area3020 router2) ms 3 ms 3 ms (area3020 router3) In dit voorbeeld zie je dat de route langs de routers bovenaan werd genomen (afbeelding 3). Bij een traceroute moet je er overgens rekening mee houden dat niet ieder gerapporteerd IP adres noodzakelijk die van de gepasseerde interface van iedere host is. (Bij de voorlaatste host hierboven is dit namelijk het geval) Enkele tests Nu gaan we eens ons netwerk uitproberen en controleren of de redundantie goed werkt. Daarbij gaan we ook kijken wat er gebeurt achter de schermen. We loggen in als root op area0router1 om dan lokaal in te loggen met telnet op de CLI van de ospfd daemon van Zebra. Onder Zebra gebruiken we het paswoord zebra. User Access Verification Password:zebra area0router1>enable Password:zebra area0router1#debug ospf event area0router1#terminal monitor OSPF: make_hello: options:2,int: eth0: OSPF: make_hello: options:0,int: eth3: OSPF: make_hello: options:2,int: eth2: OSPF: Packet [Hello:RECV]: Options * OSPF: Packet [Hello:RECV]: Options De boodschappen die nu verschijnen zijn veelal Hello messages, die OSPF routers naar elkaar sturen, om te controleren of ze elkaar nog steeds kunnen bereiken. Deze boodschappen worden default elke 10 seconden naar het IP multicastadres gestuurd. We kunnen deze boodschappen met tcpdump opvangen en naar een file dumpen op de host onder de directory /hosthome, en deze dumps bekijken met Ethereal. Wat gebeurt er nu als we een router uitschakelen langs het pad die we met de traceroute vonden naar area3020router3? We testen dit uit: we loggen in op area0router3 en stoppen Zebra: #telnet ospfd Trying Connected to Escape character is '^]'. Hello, this is zebra (version 0.93b). Copyright Kunihiro Ishiguro. Autonomous System (AS), ABR, ASBR Een autonomous system (AS) is de volledige verzameling van alle area's. De routers die de area's verbinden worden Area Border Routers (ABR) genoemd, en dragen de routes tussen de verschillende area's over. Autonomous System Boundary Routers (ASBR) zijn de routers die het AS met de externe netwerken verbinden. area0router3:~# /etc/init.d/zebra stop We zien verschillende boodschappen verschijnen op area0router1: OSPF: LSA[Type2: ]: 0x8126da0 new LSA created with Link State Update OSPF: LSA[Flooding]: start, NBR (Full), cur(0x ), New-LSA[Type2,id( ),ar( )] OSPF: ospf_flood_through_interface(): considering int eth0: , INBR( ), LSA[Type2,id( ),ar... OSPF: SPF: calculation complete Verschillende pagina's scrollen nu over het scherm. Wat er nu gebeurt is dat de routers met elkaar communiceren om de nieuwe optimale routing 9AFBEELDING 4 Er wordt een alternatieve route gekozen als we een router uitzetten 9AFBEELDING 5 Twee routers uit is ook nog geen enkel probleem 21

5 LM0204PZEBRAweb.qxd :32 Pagina 23 [ Review ] Link State Advertisements Routers geven hun link state data met Link State Advertisements (LSA) door. Er wordt gebruik gemaakt van verschillende types LSA's: q Type 1,2 zijn router & network LSA's en worden enkel intra-area gebruikt. q Type 3,4 zijn summary LSA's en worden door ABR doorgeven aan interne routers van een area. Hiermee geven area's routering entries aan elkaar door. q Type 5 zijn external LSA's en worden door ASBR doorgeven. Hiermee worden routering entries naar externe netwerken doorgeven. Area's Er zijn verschillende types area's in een OSPF netwerk mogelijk. De types bepalen hoe area's elkaars routing informatie overnemen: q Backbone Area's, of area 0, vormen de backbone van uw OSPF netwerk. Alle andere area's worden via ABR's op area 0 aangesloten. q Standaard Area's aanvaarden zowel route summary's en externe LSA's. q Stub Area's aanvaarden route summary's, maar geen externe LSA's, en sturen hiervoor een default route voor de externe netwerken door naar interne routers. q Totally Stubby Area's (of Stubby No-summary), aanvaarden geen summary en external LSA's, en sturen enkel een default route door naar externe routers. Verdere informatie over OSPF kan je vinden op de website van Cisco. ( tabellen te bepalen. Bij dit proces sturen alle DR-routers met link-state advertisements hun link state database door. Dit proces wordt ook wel het flooden van de OSPF netwerk genoemd. Als alle routers een complete link-state database hebben ontvangen updaten ze hun routing tabel. Hierna kunnen we een nieuwe traceroute uitproberen vanuit area2010router3: packets ms 1 ms 1 ms (area2010 router2) ms 2 ms 1 ms (area0 router2) ms 3 ms 7 ms (area50 router3) ms 2 ms 2 ms (area50 router4) ms 2 ms 3 ms (area0 router4) ms 2 ms 2 ms (area3020 router2) ms 3 ms 2 ms (area3020 router3) We zien dat OSPF een nieuwe route over de 2de link heeft gecreëerd naar area3020router3 (afbeelding 4). We proberen nog eenmaal het netwerk lam te leggen door een router te stoppen. We loggen in op area0router2, en stoppen Zebra: area0router2:~# /etc/init.d/zebra stop Opnieuw wordt het netwerk flooded met link-state advertisements. Nu voeren we opnieuw een traceroute uit vanuit area2010router3: packets ms 1 ms 1 ms (area2010router1) ms 3 ms 1 ms (area0router1) ms 1 ms 1 ms (area50router1) ms 2 ms 1 ms (area50router3) ms 3 ms 2 ms (area50router4) ms 2 ms 2 ms (area0router4) ms 2 ms 6 ms (area3020router2) ms 3 ms 3 ms (area3020router3) We zien nu dat de route onderweg tussen de 2 backbone area's overspringt, doordat zowel area0router2 en area0router3 uitliggen (zie afbeelding 5). Om in Zebra de routing tabel te bekijken moet je verbinden met de CLI van zebra zelf. Hiervoor moet je met telnet verbinden op de zebra poort. Voor Cisco kenners zal dit nogal vreemd klinken, maar in tegenstelling tot Cisco is de CLI interface van elke daemon beperkt tot het configureren van enkel deze daemon. Na het inloggen kun je met sh ip route de routing tabel bekijken: #telnet zebra... area0router1> sh ip route Codes: K - kernel route, C - connected, S - static, R - RIP, O OSPF, B - BGP, > - selected route, * - FIB route O>* /24 [110/0] via , lo, 00:57:21 O /30 [110/10] is directly connected, eth0, 01:01:34 C>* /30 is directly connected, eth0 O>* /24 [110/0] via , lo, 00:57:21 O /30 [110/10] is directly connected, eth2, 01:01:34 C>* /30 is directly connected, eth2 O>* /30 [110/20] via , eth0, 01:00:38 Belangrijk zijn hierbij de routing entries aangeduid met O. Dit zijn routes die met behulp van OSPF werden aangeleerd. De getallen tussen de haken geven de Administrative Distance (bij OSPF is dit 110) en de cost (10,11,20,30 & 40) van de routes aan. De Administrative Distance geeft routes een voorkeur afhankelijk van welk route protocol deze afkomstig zijn. Dit zorgt ervoor dat rechtstreeks geconnecteerde netwerken en statische routes de voorkeur krijgen boven dynamische routes zoals deze van OSPF. Als er meerdere OSPF routes aanwezig zijn krijgt deze met de laagste cost de voorkeur. De cost is een maat om de routes te beoordelen en is afhankelijk van de bandbreedte van de links over de route. Default bedraagt de cost bij een 10Mb ethernet 10. Als de route over meerdere hops moet passeren, wordt de cost over iedere link meegetelt. Geen gevaar OSPF routing is een interessant onderwerp waar je je je zeker verder in kunt verdiepen. Voor dit artikel is het echter te groot. Onze bedoeling was hier alleen om te laten zien hoe je een viruteel netwerk op je PC kunt bouwen en dat de mogelijkheden hiermee erg uitgebreid zijn. Zoals je ziet, voor het uittesten van een grote en complexe router configuratie heb je niet meer nodig dan één enkele Linux PC. Het is relatief simpel en het brengt de productieomgeving niet in gevaar. Wat wil je nog meer? 1 Referenties User-mode Linux NetKit Het script voor het OSPF-netwerk /netgraphs.html 23