plik

Sieci komputerowe

Sieci komputerowe: część czwarta

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

lin

ftw

Zostań administratorem

sieci komputerowej

Część czwarta (4/9): Adresy,

maski i routowanie w systemie Linux

W poprzedniej części kursu przedstawiona została metoda podziału połączenia internetowego.
Zastosowaliśmy w tym celu funkcję translacji adresów (NAT) udostępnianą przez urządzenie dedykowane
APPro 2405. W tej części cyklu zajmiemy się opisem procesu trasowania (routingu) pakietów oraz
konfiguracją komputera z zainstalowanym systemem Linux jako routera. Zapraszam do lektury!

Rafał Kułaga

spółczesne  sieci  komputerowe  wy-
korzystywane  m.in.  w  środowiskach
korporacyjnych  charakteryzują  się
złożoną,  wielopoziomową  strukturą.

Liczba węzłów w takich sieciach może sięgać nawet kil-
kunastu tysięcy, rozlokowanych w różnych krajach i po-
łączonych w tzw. intranet – korporacyjną sieć kompu-
terową, pozwalającą na łatwy dostęp do zasobów infor-
macyjno-sprzętowych. Czytelnik z pewnością ma świa-
domość, iż budowa oraz zarządzanie taką infrastrukturą
stanowi nie lada wyzwanie nawet dla doświadczonych
ekspertów sieciowych.

Informacje zawarte w trzech pierwszych częściach

cyklu pozwalają na przystąpienie do budowy niewiel-
kiej sieci lokalnej, obsługującej od kilkunastu do kil-
kudziesięciu komputerów. Z racji niewielkiego rozmia-
ru, nie było potrzeby wprowadzania podziału na podsie-
ci, zaś konfiguracja połączeń z innymi sieciami ograni-
czała się do wykorzystania techniki NAT (Network Ad-
dress Translation) w celu podziału połączenia z interne-
tem, dostępnego za pośrednictwem interfejsu w standar-
dzie Ethernet.

Jednym z najważniejszych zadań związanych z bu-

dową i administracją złożonymi sieciami komputero-
wymi jest konfiguracja trasowania pakietów (routingu).
Pomimo zastosowania niekiedy bardzo złożonych me-
tod i protokołów, jest to proces, którego działanie jest
zrozumiałe niemalże intuicyjnie. W trakcie lektury te-
go artykułu dowiesz się, w jaki sposób możliwe jest do-
starczenie pakietu do dowolnego komputera podłączo-
nego do internetu jedynie na podstawie znajomości je-
go adresu IP. Szczegółowo omówimy również znacze-
nie masek podsieci oraz ich zastosowanie w celu wy-
dzielenia podsieci, pozwalających na zwiększenie bez-
pieczeństwa i wydajności tworzonego przez nas roz-
wiązania.

System Linux słynie z dostępności doskonałych na-

rzędzi, służących do konfiguracji funkcji związanych
z trasowaniem. Część z Czytelników z pewnością ucie-
szy wiadomość, iż dostępne są specjalizowane dystrybu-
cje, niejednokrotnie przewyższających funkcjonalnością
tańszy sprzęt sieciowy. Decydując się na wykorzystanie
komputera jako routera, musimy jednak pamiętać o ogra-
niczeniach wydajnościowych i problemach związanych

Sieci komputerowe

Sieci komputerowe: część czwarta

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

z bezpieczeństwem – w artykule zajmiemy
się również tymi zagadnieniami.

Informacje zawarte w tej części kursu

pozwolą  Czytelnikowi  na  lepsze  zrozumie-
nie  działania  sieci  komputerowych,  realiza-
cji zadań warstwy sieciowej modelu OSI oraz
przeprowadzenie  konfiguracji  statycznych
i dynamicznych metod routingu w systemie
Linux. Należy jednak pamiętać, iż nie są to
kompletne  rozwiązania,  gotowe  do  zastoso-
wania na sprzęcie działającym w sieciach fir-
mowych.  Bez  odpowiedniego  wzmocnienia
bezpieczeństwa  systemu,  nasz  router  stałby
się bowiem łakomym kąskiem dla osób o nie-
cnych zamiarach. Tematem zwiększania bez-
pieczeństwa sieci komputerowych oraz budo-
wy firewalli zajmiemy się szczegółowo w na-
stępnej części cyklu.

Adresy IP

i maski podsieci a routowanie

Do tej pory, przypisując adresy IP kompute-
rom w naszej sieci lokalnej, dokonywaliśmy
dużego uproszczenia. Wszystkie kompute-
ry podłączone do sieci lokalnej znajdowały
się w tej samej podsieci, co mogło mieć nie-
korzystny wpływ na jej wydajność oraz bez-
pieczeństwo. Możemy temu zaradzić poprzez
wybór odpowiednich masek podsieci, wyzna-
czającej linię podziału pomiędzy częścią ad-
resu IP odpowiedzialną za identyfikację sieci
a częścią określającą numer hosta.

Adres IP a maska podsieci

Jak z pewnością pamiętasz, adres IP jest 32-
bitową dodatnią liczbą całkowitą, dla wygo-
dy zapisywaną w notacji kropkowo-dziesięt-
nej (np. 192.168.1.1). Rownież w rozległych
sieciach,  takich  jak  internet,  do  określenia
odbiorcy  pakietu  wykorzystywany  jest  je-
dynie adres IP. W związku z tym, koniecz-
ne jest zapisanie w nim informacji, pozwa-
lających  na  odpowiednie  skierowanie  pa-
kietu do celu. Zwróć uwagę, iż w celu prak-
tycznego wykorzystania adresu IP w proce-
sie trasowania, konieczne jest zrezygnowa-
nie z płaskiego modelu 32-bitowej puli ad-
resów. Można to zilustrować poprzez analo-
gię do życia codziennego – niemożliwe jest
szybkie  odnalezienie  budynku  jedynie  na
podstawie znajomości jego numeru (identy-
fikator hosta), nawet jeżeli byłby on unikal-
ny w skali obszaru poszukiwań. Jeżeli jed-
nak  znamy  położenie  ulicy,  na  której  znaj-
duje  się  dany  budynek  (adres  sieci),  to  je-
go odnalezienie nie będzie stanowić dla nas
problemu.

W celu rozdzielenia adresu sieci oraz

identyfikatora hosta stosuje się maski pod-

sieci. Są one 32-bitowymi liczbami całkowi-
tymi,  dla  wygody  zapisywanymi  w  postaci
kropkowo-dziesiętnej  (np.  255.255.255.0).
Jeżeli masz już jakieś doświadczenie w pra-
cy  z  sieciami  komputerowymi,  to  z  pew-
nością  zauważyłeś  charakterystyczny  roz-
kład bitów w maskach podsieci. Po zapisa-
niu  w  postaci  binarnej,  mają  one  bowiem
postać ciągu jedynek, dopełnionego zerami
do rozmiaru 32 bitów. Przykładową parę ad-
res IP-maska podsieci przedstawiono na Ry-
sunku 1. Adres sieci stanowią bity, którym
w masce podsieci odpowiadają jedynki. Po-
została  część  adresu  IP  stanowi  identyfika-
tor hosta.

Obliczenie, ile adresów IP w każdej

z podsieci możemy wygenerować przy za-
danej  masce  nie  jest  trudne.  Dla  ustalenia
uwagi  przyjmijmy,  iż  interesująca  nas  ma-
ska  podsieci  ma  wartość  255.255.255.128.
W celu weryfikacji poprawności, zapiszemy
ją  w  postaci  binarnej:  11111111.11111111.
11111111.10000000.  Widzimy,  iż  po  ciągu
25 jedynek następuje 7 zer, wyznaczających
bity odpowiadające identyfikatorowi hosta.
Teoretyczna liczba identyfikatorów hostów
w takiej sieci wynosi 128. Liczba użytecz-
nych  adresów  (takich,  które  można  przy-
pisać  węzłom)  wynosi  126.  Mniejsza  licz-
ba adresów użytecznych spowodowana jest
zarezerwowaniem  pierwszego  i  ostatniego
identyfikatora hosta na potrzeby adresu sie-
ci oraz adresu broadcast. O transmisji bro-
adcastowej powiemy więcej w dalszej czę-
ści artykułu.

Uważny Czytelnik z pewnością zada te-

raz pytanie: No dobrze, ale co daje nam zna-
jomość adresu sieci? W jaki sposób podział
adresu IP jest wykorzystywany w trakcie tra-
sowania?. Odpowiedź na to pytanie wymaga
przyjrzenia się działaniu sieci lokalnej oraz
zastanowieniu się, kiedy pakiet opuszcza sieć

fizyczną. Okazuje się, iż w trakcie wysyła-
nia pakietu adres odbiorcy porównywany jest
z adresem sieci, w której znajduje się nadaw-
ca. W przypadku gdy oba węzły znajdują się
w tej samej sieci, nie ma potrzeby przesyła-
nia pakietu za pośrednictwem routera – wy-
starczy w tym celu sieć fizyczna. Wykorzy-
stanie trasowania jest zatem konieczne jedy-
nie w przypadku, gdy komputery znajdują się
w różnych sieciach.

Wyznaczanie

adresu sieci i identyfikatora hosta

Wyjaśnienia może wymagać sposób wyzna-
czenia adresu sieci oraz identyfikatora ho-
sta. Dla osób obeznanych z algebrą Boole-
'a jest to z pewnością oczywiste, jednak dla
pewności przedstawimy tu algorytm postę-
powania.

Przed przystąpieniem do wyznaczenia

adresu sieci oraz identyfikatora hosta, należy
adres IP oraz maskę podsieci zapisać w po-
staci binarnej. Następnie wykonujemy ope-
rację logiczną AND na odpowiadających bi-
tach adresu IP oraz maski podsieci (wartości
podstawowych funktorów logicznych zosta-
ły zebrane w tabeli Podstawowe funktory lo-
giczne), wyznaczając tym samym adres sie-
ci. Pozostała część adresu IP stanowi identy-
fikator hosta.

Wyznaczanie adresu sieci oraz identyfi-

katora hosta jest bardzo proste, dostępnych
jest również wiele programów wyręczają-
cych nas w tym zadaniu. Jednym z podstawo-
wych narzędzi jest kalkulator adresów IP ip-
calc,w postaci skryptów na stronach interne-
towych (Rysunek 2).

Klasy adresów

IP oraz routowanie bezklasowe

W jednej z pierwszych części cyklu powie-
dzieliśmy, iż w początkach internetu korzy-

Tabela 1.

Podstawowe funktory logiczne

p AND q

p OR q

NOT p

p XOR q

Tabela 2.

Klasy adresów IP

Klasa

Pierwszy oktet

Zakres pierw-
szego oktetu

Liczba
sieci

Liczba hostów

Typ sieci

0XXXXXXX

1 - 126

126

16.777.214

Bardzo duże

10XXXXXX

128 - 191

16.384

65.534

Średniej wiel-
kości

110XXXXX

192 - 223

2.097.152 254

Małe

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

stano z tzw. klas adresów IP. Podział adresów
IP na klasy pozornie upraszczał budowę sie-
ci  komputerowych,  znacznie  utrudniał  jed-
nak efektywne zagospodarowanie puli adre-
sów. Wraz z rozwojem internetu pomysł ten
został porzucony na rzecz bardziej efektyw-
nego rozwiązania umożliwiającego przypisy-
wanie dowolnych masek podsieci. Wykorzy-
stanie routowania bezklasowego przyczyniło
się  również  do  zmniejszenia  tempa  wyczer-
pywania się puli 32-bitowych adresów IPv4
oraz uproszczenia tablic routowania przecho-
wywanych na routerach (więcej na temat ta-
blic routingu  powiemy w dalszej części ar-
tykułu).

Bezklasową metodę adresacji oraz wy-

korzystującą  ją  metodologię  routingu  okre-
śla  się  skrótem  CIDR  (Classless  Inter-Do-
main Routing). Głównym założeniem meto-
dologii CIDR jest stosowanie masek podsie-
ci o dowolnej liczbie bitów określających ad-
res sieci. Jest to przeciwieństwo adresowania
klasowego, w którym maska podsieci składa
się z 8-bitowych bloków (definiujących kla-
sy  adresów: A,  B  oraz  C). Aby  dostosować

sposób zapisuj maski sieciowej do nowej me-
todologii, przyjęto formę zapisu adres_ip/N,
gdzie N oznacza liczbę bitów maski określa-
jących adres sieci.

Opis szczegółów metodologii CIDR

znacznie wykracza poza zakres tego artyku-
łu – do pełnego zrozumienia informacji za-
wartych w następnych paragrafach wystarczy
ogólne zrozumienie znaczenia masek podsie-
ci oraz wprowadzanego przez nie podziału
przestrzeni adresów.

Adresy

i komunikacja broadcast/multicast

Tworząc podział na podsieci powinniśmy pa-
miętać,  iż  użyteczna  liczba  identyfikatorów
jest  mniejsza  od  liczby  teoretycznej.  Jest  to
spowodowane  wykorzystaniem  pierwszego
adresu  puli  jako  adresu  sieci  oraz  ostatnie-
go adresu jako adresu broadcast, wykorzysty-
wanego w transmisji rozgłoszeniowej. Czym
jest oraz w jakim celu stosowana jest transmi-
sja rozgłoszeniowa?

Wiele protokołów i aplikacji wyma-

ga możliwości wysłania pakietu do wszyst-

kich  komputerów  w  podsieci.  Jednym
z głównych zastosowań transmisji broadca-
stowej  są  aplikacje  oraz  protokoły  wyma-
gające informacji o strukturze sieci. Teore-
tycznie możliwe byłoby ręczne wprowadza-
nie  odpowiednich  danych  przez  użytkow-
nika,  jednak  byłoby  to  rozwiązanie  bardzo
nieefektywne  oraz  podatne  na  błędy.  Pro-
ces ten możemy usprawnić, rozgłaszając za-
pytanie a następnie przetwarzając odpowie-
dzi pochodzące od hostów. Jednym z przy-
kładów wykorzystania transmisji rozgłosze-
niowej na poziomie warstwy sieciowej mo-
delu OSI są protokołu wymiany informacji
o  trasowaniu,  wykorzystywane  w  routingu
dynamicznym.

Zwróćmy uwagę, iż przesyłanie dużych

ilości pakietów broadcastowych może przy-
czynić  się  do  znacznego  spadku  wydajno-
ści  sieci  –  każdy  pakiet  musi  bowiem  zo-
stać  odebrany  i  przetworzony  przez  każdą
z maszyn znajdujących się w danej podsie-
ci. Zwiększenie wydajności oraz zmniejsze-
nie nadmiarowego ruchu jest jedną z przy-
czyn  wydzielania  podsieci.  Dzięki  odpo-
wiedniej  konfiguracji  routerów  (którą  zaj-
miemy  się  w  następnych  paragrafach),  bę-
dziemy mogli ograniczyć komunikację po-
między podsieciami do wymaganych usług
i protokołów.

Wyznaczanie adresu broadcast na pod-

stawie zapisu binarnego maski podsieci oraz
adresu IP jest bardzo proste – na adresie IP
wykonujemy bitowe OR (lub) z zanegowaną
(NOT) maską sieciową. Upraszczając, moż-
na powiedzieć, iż w adresie IP zamieniamy
wszystkie bity odpowiadające identyfikato-
rowi hosta na 1, pozostawiając część odpo-
wiadającą adresowi sieci bez zmian. Widać
więc, że adres rozgłoszeniowy jest najwyż-
szym identyfikatorem hosta w danej pod-
sieci.

Protokół IP dopuszcza również przesy-

łanie  danych  do  wielu  odbiorców  przy  wy-
korzystaniu  multicastu.  W  przeciwieństwie
do  transmisji  rozgłoszeniowej,  w  transmisji
multicastowej dane odbierane są tylko przez
odpowiednio  skonfigurowane  hosty.  Istnieje
wiele metod pozwalających na realizację ta-
kiego  przesyłu  danych,  brak  jest  jednak  ja-
sno określonych i uznanych standardów. Za-
gadnienia związane z transmisją multicasto-
wą  znacznie  wykraczają  poza  zakres  kursu,
tak  więc  nie  będziemy  się  nimi  dłużej  zaj-
mować.

Routowanie – podstawy

Po zapoznaniu z podstawowymi informacja-
mi dotyczącymi struktury adresów IP, ma-

Rysunek 1.

Przykładowa para adres IP – maska podsieci

��

Rysunek 2.

Jedno z narzędzi typu ipcalc, dostępne poprzez przeglądarkę internetową

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

sek podsieci oraz metodologii bezklasowej
CIDR, możemy przystąpić do omówienia
podstawowych zagadnień związanych z pro-
cesem trasowania pakietów.

O dużej złożoności routowania najlepiej

świadczy  obszerność  publikacji  omawiają-
cych  to  zagadnienie.  Informacje  zawarte
w  tym  artykule  nie  wyczerpują  nawet  pod-
staw  trasowania  –  ich  zadaniem  jest  raczej
stworzenie  płaszczyzny,  na  której  możliwe
będzie zrozumienie działania przykładów za-
wartych  w  dalszej  części  artykułu.  Osobom
zainteresowanym szczegółami routingu oraz
działaniem  protokołów  wymiany  informacji
o trasach polecam zapoznanie się z informa-
cjami zawartymi na stronach wymienionych
w  ramce  W  Sieci  oraz  odpowiednimi  doku-
mentami RFC.

Dlaczego konieczne

jest trasowanie pakietów?

Zanim  przejdziemy  do  opisu  oraz  konfigu-
racji  routingu  w  systemie  Linux,  zastano-
wimy się dlaczego trasowanie pakietów jest
niezbędne w celu budowy wydajnych i bez-
piecznych  sieci  komputerowych.  W  pierw-
szej części cyklu omówiliśmy bowiem pod-
stawowe urządzenia wykorzystywane w sie-
ciach  komputerowych,  wśród  których  znaj-
dował  się  most  (network  bridge),  również
służący  do  łączenia  sieci.  Pomimo  iż  urzą-
dzenia  tego  typu  są  obecnie  bardzo  rzadko
wykorzystywane,  warto  zapoznać  się  z  za-
sadą  ich  działania.  Jakie  są  więc  podstawo-
we różnice pomiędzy trasowaniem a mostko-
waniem sieci?

Przewaga pierwszego z wymienionych

rozwiązań okaże się oczywista, gdy przypo-
mnimy sobie zasadę działania mostów. Jak
z  pewnością  pamiętasz,  są  one  urządzenia-
mi warstwy drugiej modelu OSI, wykorzy-
stującymi adresy fizyczne w procesie podej-
mowania  decyzji  o  przekazywaniu  ramek.
Po  odebraniu  ramki  Ethernet  przez  most,
sprawdzany  jest  jej  adres  przeznaczenia
– jeżeli odbiorca znajduje się w tym samym
segmencie  sieci  co  nadawca,  most  ignoru-
je ją. Jeżeli odbiorca znajduje się w innym
segmencie, most przesyła ją dalej. Po ode-
braniu  oraz  przetworzeniu  ramki  przez  od-
biorcę,  most  przekazuje  odpowiedź  do  sie-
ci w której znajdował się interfejs sieciowy
nawiązujący połączenie. W trakcie opisywa-
nego procesu tworzona jest tzw. tabela mo-
stowania, wykorzystywana w trakcie podej-
mowania decyzji o przekazywaniu pakietów
pomiędzy  segmentami.  Przekazywanie  pa-
kietów  przy  pomocy  mostów  jest  znacznie
szybsze niż w przypadku średniej klasy ro-

uterów. Dlaczego więc zrezygnowano z ich
wykorzystania? Okazuje się, że mosty nie
zapewniają dostatecznej kontroli nad pracą
sieci oraz utrudniają jej rozbudowę i ograni-
czają skalowalność.

Zastanówmy się, co stanie się, gdy do

mostu  dotrze  ramka  wysłana  w  trybie  bro-
adcastowym.  Ramki  tego  typu  będą  zawsze
przesyłane  pomiędzy  segmentami.  Powodu-
je  to  powstanie  dużej  ilości  nadmiarowego
ruchu,  mogącego  drastycznie  obniżyć  wy-
dajność sieci. Obecnie mosty sieciowe mają
znaczenie jedynie historyczne – zostały nie-
mal całkowicie wyparte przez routery (z nie-

co innym typem mostu zapoznamy się w czę-
ści cyklu poświęconej sieciom bezprzewodo-
wym). Warto jednak zapoznać się z zasadą
ich działania, ponieważ pozwala to na lepsze
zrozumienie routowania.

Przebieg routowania

i śledzenie pakietów

W  sieciach  opartych  o  protokół  IP,  każde
urządzenie  podejmuje  decyzje  o  routowa-
niu  samodzielnie.  Oznacza  to,  iż  droga  pa-
kietu  od  nadawcy  do  adresata  składa  się
z wielu przeskoków, odpowiadających prze-
słaniu przez odrębne węzły. Najważniejszym

Listing 1.

Konfiguracja iptables do podziału łącza poprzez translację adresów

#!/bin/sh

WAN_INTERFACE

"eth0"

#załadowanie modułów jądra

modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe iptable_mangle
modprobe ipt_MASQUERADE
modprobe ipt_nat_ftp
modprobe ipt_nat_irc
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc

#usunięcie istniejących reguł i łańcuchów

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

#akceptujemy wszystkie przychodzące pakiety

iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT

#konfiguracja dla interfejsu lo

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -i lo -j ACCEPT

#konfiguracja NAT dla adresu przyznanego przez DNS

iptables -t nat -A POSTROUTING -o

$WAN_INTERFACE

-j MASQUERADE

#konfiguracja NAT dla adresu stałego

iptables -t nat -A POSTROUTING -o

$WAN_INTERFACE

-j SNAT –to-source

adres_ip

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

z urządzeń odpowiadających za przesyłanie
pakietów jest router, którego rolę może peł-
nić zarówno specjalistyczny sprzęt, jak i stan-
dardowe komputery PC, wyposażone w od-
powiednią liczbę interfejsów sieciowych oraz
oprogramowanie.

Przy wysłaniu pakietu, komputer po-

dejmuje  decyzje  o  sposobie  jego  trans-
misji.  Jeżeli  adres  odbiorcy  znajduje  się
w  tej  samej  sieci,  co  nadawca  (określo-
nej według zasad podanych we wcześniej-
szych  paragrafach),  pakiet  przesyłany  jest
bez  udziału  routera  –  do  jego  dostarcze-
nia  wystarcza  sieć  fizyczna.  Wykorzysta-
nie routera ma miejsce wtedy, gdy nadaw-
ca  i  odbiorca  znajdują  się  w  różnych  sie-
ciach – w takim przypadku pakiet jest prze-
syłany na adres tzw. domyślnej bramy. Jej
funkcje  pełni  router  znajdujący  się  najbli-
żej nadawcy w topologii fizycznej sieci. Po
odebraniu pakietu, router podejmuje decy-
zje o trasowaniu w bardzo podobny sposób
–  w  tablicy  routowania  odnajdywany  jest
wpis  odpowiadający  adresowi  następnego
routera, do którego pakiet powinien zostać
skierowany.

Dzięki takiemu przebiegowi procesu

routingu  możliwe  jest  znaczne  uproszcze-
nie tablic routowania (więcej informacji na
temat  tablic  routowania  znajdziesz  w  na-
stępnym  paragrafie)  oraz  struktury  sieci.
W przypadku dużych sieci możemy bowiem
dostrzec  wyraźną  hierarchizację  –  routery
znajdujące  się  najbliżej  końcówek  siecio-
wych (czyli interfejsów sieciowych) obsłu-

gują ruch o znacznie mniejszym natężeniu,
niż routery znajdujące się w obrębie rdzenia
sieci. Umożliwia to dobranie sprzętu najle-
piej odpowiadającego wymaganiom danego
obszaru sieci.

Mówi się, że jeden obraz oznacza wię-

cej niż tysiąc słów – w takim razie sprawdź-
my,  jak  w  praktyce  wygląda  trasa  pakietu
od naszego komputera do dowolnego z ser-
werów internetowych. Możemy w tym celu
wykorzystać  program  traceroute,  dostępny
standardowo w każdej dystrybucji Linuksa.
Działanie tego narzędzia opiera się na umie-
jętnym wykorzystaniu protokołu ICMP (In-
ternet Control Message Protocol), służące-
go do przesyłania wiadomości kontrolnych
(m.in. komunikatów o błędach). Traceroute
wykorzystuje komunikaty typu ICMP Echo
Request, czyli takie same jak program ping.
Różnica  polega  na  wartościach  czasu  ży-
cia pakietu (TTL – Time To Live), określa-
jących  maksymalną  liczbę  routerów,  przez
które przejść może pakiet zanim zostanie on
porzucony (co zapobiega powstawaniu tzw.
pętli routowania). Pierwszy pakiet wysyła-
ny przez traceroute (z wartością TTL rów-
ną  1)  zostaje  odebrany  przez  naszą  bramę
domyślną, następuje zmniejszenie wartości
TTL, porzucenie pakietu i wysłanie komu-
nikatu o błędzie TTL Exceeded (przekrocze-
nie  czasu  życia  pakietu).  Program  tracero-
ute odbiera ów komunikat i wysyła następ-
ny pakiet, tym razem z TTL równym 2. Pa-
kiet  ten  dociera  jeden  skok  bliżej  celu  niż
pakiet  pierwszy,  po  czym  odebrany  zosta-

je komunikat o błędzie pochodzący od dru-
giego  routera.  Adresy  IP  kolejnych  route-
rów  przekazujących  pakiet  są  wyświetla-
ne  na  ekranie.  Czasami  zdarza  się  jednak,
iż konfiguracja któregoś z routerów nie ze-
zwala na odpowiadanie na pakiety genero-
wane  przez  program  traceroute  –  w  takim
przypadku  adres  routera  nie  zostanie  wy-
świetlony.

Tablice routingu

– ich tworzenie i zastosowanie

Po odebraniu pakietu, router określa adres
następnego urządzenia sieciowego, do któ-
rego powinien zostać przesłany pakiet. Może
nim być kolejny router lub interfejs sieciowy
odbiorcy pakietu. Informacje wykorzystywa-
ne w trakcie trasowania pakietów zapisane są
w tzw. tablicach routowania.

Tablica routowania zawiera adresy IP ro-

uterów  pod  które  należy  przesyłać  pakiety
skierowane  do  określonych  odbiorców.  Wi-
dać  więc,  iż  w  tablicy  tej  adres  IP  odbior-
cy  służy  jako  klucz  przy  wyszukiwaniu  ad-
resu następnego skoku. Każda z tablic zawie-
ra również tzw. adres domyślny, wskazujący
na  router  posiadający  pełniejszą  tablicę  ro-
utingu – wykorzystywany jest on w sytuacji,
gdy nie odnaleziono wpisu odpowiadającego
sieci docelowej.

Zastanawiasz się teraz pewnie nad tym,

w  jaki sposób  tworzone  są  tablice routowa-
nia – czy wpisy wprowadzane są przez admi-
nistratora sieci, czy też tworzone są w sposób
automatyczny  w  trakcie  pracy  sprzętu  (po-
dobnie  jak  w  przypadku  mostów)?  Okazu-
je się, iż wykorzystywane są obydwie z tych
metod: statyczna oraz dynamiczna.

W routingu statycznym, tablica routowa-

nia wprowadzana jest w całości przez admi-
nistratora sieci. Dzięki temu uzyskujemy pe-
łen determinizm trasowania, a co za tym idzie
– większą wydajność i łatwiejsze rozwiązy-
wanie problemów. W routingu statycznym
każdy z routerów podejmuje decyzje o tra-
sowaniu w pełni samodzielnie – routery nie
wymieniają się informacjami o stanie łącz, co
uniemożliwia tworzenie rozwiązań korzysta-
jących z redundancji.

W routingu dynamicznym, routery wy-

mieniają się informacjami o trasowaniu (wy-
korzystywane są w tym celu tzw. protokoły
wymiany  informacji  o  trasowaniu).  Dzięki
temu możliwe jest tworzenie łącz redundant-
nych, zapewniających łączność w sytuacjach
awaryjnych. Jednym z najważniejszych pro-
blemów,  pojawiających  się  przy  zastosowa-
niu  routingu  dynamicznego  jest  indetermi-
nizm, wynikający z faktu, iż router polega na

Rysunek 3.

Algorytm routingu w metodologii CIDR

��

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

informacjach otrzymanych od innych route-
rów działających w sieci.

Warto zastanowić się, kiedy uzasadnione

jest stosowanie każdej z wymienionych me-
tod. Najczęściej podawana reguła mówi, że
routing dynamiczny powinien być stosowa-
ny tam, gdzie jest to konieczne, w pozosta-
łych routerach zalecana jest konfiguracja tra-
sowania statycznego.

Algorytm routingu

Routery  w  trakcie  kierowania  pakietów  re-
alizują  ściśle  określony  algorytm,  którego
uproszczona  wersja  przedstawiona  została
na Rysunku 3.

Po odebraniu pakietu, router przeszuku-

ję tablicę routingu w cel odnalezienia adre-
su następnego skoku, odpowiadającego sieci
w której znajduje się adres odbiorcy. Przy
wyborze trasy mogą być brane pod uwagę do-
datkowe kryteria, takie jak np. obciążenie da-
nych tras. W tym kroku możliwe jest również
wykorzystanie łączy redundantnych (zapaso-
wych), umożliwiających zapewnienie ciągło-
ści działania sieci.

Jeżeli odnaleziony zostanie wpis odpo-

wiadający  sieci  odbiorcy,  pakiet  przesyłany
zostaje  do  zdefiniowanego  routera. W  przy-
padku gdy nie odnaleziono adresu następne-
go routera, pakiet wysyłany jest na adres ro-
utera  domyślnego  (bramy  domyślnej)  –  jest
nią  zazwyczaj  router  posiadający  większą
wiedzę  na  temat  struktury  sieci.  Jeżeli  brak
jest zdefiniowanej trasy domyślnej, pakiet zo-
staje odrzucony, po czym do nadawcy zosta-
je wysłany komunikat o błędzie (Destination
Unreachable).

Określanie umiejscowienia routerów

Jednym z największych problemów, jakie na-
potykają początkujący konstruktorzy sieci
komputerowych, jest określenie odpowied-
niego położenia routerów w sieci. Nie jest to
bynajmniej proste zadanie, ponieważ wyma-
ga od nas dobrej znajomości charakteru i na-
tężenia komunikacji pomiędzy węzłami pod-
łączonymi do naszej sieci.

Zanim przystąpimy do określenia roz-

mieszczenia  routerów  w  strukturze  naszej
sieci,  koniecznie  powinniśmy  dokonać  po-
działu  na  podsieci  zgodnie  z  informacjami
zawartymi w poprzednich paragrafach. Kom-
putery, które często wymieniają ze sobą da-
ne powinny znajdować się w jednej podsieci,
te zaś powinny być łączone ze sobą poprzez
zastosowanie  odpowiednio  skonfigurowa-
nych routerów. Więcej informacji na ten te-
mat znajdziesz w paragrafie Routing pomię-
dzy podsieciami.

System Linux jako router

W  dużych  przedsiębiorstwach  rolę  route-
rów i firewalli pełnią zazwyczaj odpowiednie
urządzenia, gwarantujące wysoką niezawod-
ność  oraz  wydajność.  Oprócz  tego,  niewąt-
pliwą  zaletą  sprzętu  dedykowanego  jest  ła-
twość obsługi oraz duże możliwości konfigu-
racji. Sprzęt producentów takich jak np. CI-
SCO może być również łatwo łączony w kla-
stry i montowany w tzw. rackach.

Bardzo często wydajność sprzętu nie jest

jednak  priorytetem  –  w  przypadku  niewiel-
kich  przedsiębiorstw  znacznie  większe  zna-
czenie może mieć cena urządzenia lub kosz-
ty ewentualnej rozbudowy sieci. W środowi-
skach  tego  typu  sprawdzą  się  proste  urzą-
dzenia  wbudowane  pełniące  funkcję  route-
ra  lub  komputery  z  zainstalowanym  syste-
mem Linux.

W systemach korzystających z jądra Li-

nux, za podstawowe funkcje związane z ob-
sługą  sieci  odpowiada  jądro  systemu.  Kon-
figuracja  tych  mechanizmów  kernela  odby-
wa  się  przy  pomocy  narzędzi  działających
w  przestrzeni  użytkownika,  takich  jak  np.
iptables.  Część  bardziej  zaawansowanych
funkcji, jak np. obsługa protokołów routingu
dynamicznego odbywa się w dużym stopniu
w przestrzeni użytkownika.

Chciałbym teraz zwrócić Twoją uwagę,

drogi Czytelniku, na zalety i wady zastoso-
wania systemu Linux jako routera. Do naj-
ważniejszych zalet takiego rozwiązania mo-
żemy z pewnością zaliczyć:

• Niski koszt – ponosimy jedynie koszt

sprzętu komputerowego – wszelkie nie-
zbędne oprogramowanie jest darmowe;

• Wysoki poziom bezpieczeństwa – odpo-

wiednio skonfigurowany system Linux
charakteryzuje się bardzo wysokim po-
ziomem bezpieczeństwa;

• Wysoka wydajność – oczywiście zależna

od zainstalowanego sprzętu, liczby ob-
sługiwanych komputerów oraz rozmiaru
tablic routowania;

• Łatwość rozbudowy i aktualizacji – ak-

tualizacja oprogramowania zainstalowa-
nego na serwerze jest znacznie prostsza
niż uaktualnienie firmware urządzenia
wbudowanego;

• Możliwość uruchomienia dodatkowych

usług  –  oprócz  obsługi  routowania,
nasz  serwer  może  być  jednocześnie  fi-
rewallem  oraz  np.  serwerem  LDAP  lub
WWW.  Ze  względów  bezpieczeństwa
nie jest to jednak polecane rozwiązanie.

Wykorzystanie systemu Linux jako routera
nie jest jednak pozbawione wad, spośród któ-
rych najpoważniejsze to:

• Konfiguracja trudniejsza niż w przypad-

ku urządzeń dedykowanych;

• Konieczność ciągłej aktualizacji opro-

gramowania (niezbędna w celu utrzy-
mania należytego poziomu bezpieczeń-
stwa);

• Wydajność niższa niż urządzeń dedyko-

wanych.

Dzięki odpowiedniej konfiguracji oprogra-
mowania możemy zniwelować powyższe
niedogodności. Dodatkowo dostępne są spe-
cjalizowane dystrybucje Linuksa, dostosowa-
ne do pełnienia funkcji routera.

Listing 2.

Konfiguracja demonów Quagga - /etc/quagga/daemons

zebra

=yes

bgpd

=no

ospfd

=no

ospf6f

=no

ripd

=yes

ripngd

=no

isisd

=no

Listing 3.

Konfiguracja demona Zebra – /etc/quagga/zebra.conf

hostname router
password haslo

enable

password haslo

service advanced-vty
log file /var/log/quagga/zebra.log
access-list localhost permit 127.0.0.1/32
access-list localhost deny any
line vty
access-class localhost

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

Specjalizowane

dystrybucje Linuksa

Najważniejsze  funkcje  sieciowe  systemów
Linuksowych realizowane są przez jądro, co
pozwala  na  skonfigurowanie  dowolnej  dys-
trybucji do pracy jako router. Należy jednak
pamiętać, iż w celu optymalnego wykorzysta-
nia możliwości sprzętu oraz zapewnienia na-
leżytego poziomu bezpieczeństwa i stabilno-
ści, konieczne jest dokonanie dużych zmian
w  systemie.  Oprócz  najprostszych  czynno-
ści związanych z hardeningiem systemu, ta-
kich  jak  wyłączenie  niepotrzebnych  usług,
monitorowanie  stanu  portów  oraz  zastoso-
wanie systemów IPS/IDS (Intrusion Protec-
tion System/Intrusion Detection System), ko-
nieczne jest zazwyczaj dokonanie rekompila-
cji jądra oraz wielu innych, często niełatwych
czynności.

Na internetowych listach dyskusyjnych

często  zadawane  jest  pytanie,  która  dystry-
bucja Linuksa nadaje się najlepiej do zasto-
sowania  jako  router.  Nie  istnieje  jedna  od-
powiedź na to pytanie. Wszystko zależy bo-
wiem  od  indywidualnych  wymagań  danego
środowiska  oraz  wiedzy  administratora.  Ist-
nieje jednak grupa specjalizowanych minidy-
strybucji, pozwalających szybko skonfiguro-
wać nawet bardzo zaawansowane funkcje fil-
trowania i routowania pakietów. Najpopular-
niejsze z nich to:

• Freesco – jedna z najstarszych minidy-

strybucji Linuksa, przeznaczona do peł-
nienia  funkcji  routera.  Nazwa  Freesco
oznacza,  iż  ambicją  deweloperów  tej
dystrybucji  jest  zapewnienie  wolnej  al-
ternatywy  dla  sprzętu  sieciowego  CI-
SCO  (Free  +  (CI)SCO).  Podstawowa
wersja  Freesco  mieści  się  na  dyskiet-
ce,  dodatkowe  moduły  możemy  wczy-
tać  po  uruchomieniu  systemu;  dostęp-
na jest również wersja służąca do insta-

lacji  na  dysku  twardym.  Zaletą  dystry-
bucji Freesco jest bardzo wysoki poziom
bezpieczeństwa  oraz  ekstremalnie  małe
wymagania  sprzętowe.  Najnowszą  wer-
sję  Freesco  znajdziesz  na  stronie  http:
//www.freesco.org/;

• Pyramid Linux – minidystrybucja Li-

nuksa  przeznaczona  do  zastosowania  w
sieciowych  (w  szczególności  bezprze-
wodowych)  systemach  wbudowanych
kompatybilnych z architekturą x86. Jed-
ną z największych zalet Pyramid Linuk-
sa jest kompatybilność z Ubuntu – ozna-
cza to, iż instalacja dodatkowych pakie-
tów nie będzie sprawiać problemów. Ob-
razy dystrybucji (przeznaczone do zapi-
sania np. na karcie CF wykorzystywanej
w  routerze)  znajdziesz  na  stronie  http:
//dl.metrix.net/support/dist/;

• Endian Firewall – minidystrybucja Li-

nuksa  przeznaczona  do  zastosowania
jako  firewall  oraz  router.  Na  szczegól-
ną  uwagę  zasługuje  bardzo  wygodny,
przeglądarkowy  interfejs  użytkowni-
ka  oraz  oferta  urządzeń  wbudowanych
z zainstalowanym systemem Endian Fi-
rewall.  Więcej  informacji  na  temat  tej
dystrybucji  znajdziesz  na  stronie  http:
//www.endian.com/en/;

• IPCop – minidystrybucja Linuksa prze-

znaczona  do  zastosowania  jako  fire-
wall  oraz  router.  Zawiera  wygodny  in-
terfejs  konfiguracyjny  obsługiwany
przez  przeglądarkę.  W  dystrybucji  IP-
Cop bardzo ciekawie rozwiązano przy-
dzielanie funkcji interfejsom – określa-
ne są one przy pomocy tzw. kolorów in-
terfejsu.  Najnowszą  wersją  dystrybu-
cji  IPCop  znajdziesz  na  stronie  http:
//www.ipcop.org/.

Wszystkie z wymienionych dystrybucji cha-
rakteryzują się niskimi wymaganiami sprzę-

towymi i wysokim poziomem bezpieczeń-
stwa. Dystrybucje te są również przystoso-
wane do uruchamiania z kart pamięci flash,
co pozwala na budowę wydajnych urządzeń
sieciowych o niskim poborze prądu.

W dalszej części artykułu zapoznamy się

z  przebiegiem  konfiguracji  funkcji  routingu
w  systemie  Linux.  Nie  będziemy  odwoły-
wali się do konkretnych dystrybucji (chyba,
że  będzie  to  konieczne),  lecz  przedstawimy
uniwersalne  rozwiązania.  Osobom  zaintere-
sowanym budową routera w oparciu o mini-
dystrybucje polecam zapoznanie się z infor-
macjami zawartymi na ich stronach interne-
towych – często zawierają one narzędzia uła-
twiające  konfigurację  funkcji  routingu.  Je-
żeli jednak opanujesz konfigurację routerów
za pomocą poleceń opisanych w dalszej czę-
ści artykułu, to ich wykorzystanie będzie dla
Ciebie bardzo proste.

Niezbędne pakiety

Większość dystrybucji Linuksa zawiera pod-
stawowe pakiety niezbędne do obsługi traso-
wania w domyślnej instalacji. Przed przystą-
pieniem do wykonywania czynności opisa-
nych w następnych paragrafach, powinieneś
upewnić się, że w Twoim systemie zainstalo-
wane są następujące narzędzia:

• net-tools – pakiet zawierający podsta-

wowe narzędzia służące do konfiguracji
podsystemu sieciowego jądra;

• iproute2 – pakiet zawierający ulepszo-

ne wersje narzędzi zawartych w pakiecie
net-tools oraz dodatkowe programy, słu-
żące do obsługi funkcji QoS, kształtowa-
nia ruchu sieciowego itp.;

• Quagga – pakiet zawierający implemen-

tację protokołów routingu dynamicznego
(m.in. RIP i OSPF).

Nie będziemy tu opisywać procesu instalacji
poszczególnych pakietów – są one bowiem
dostępne w repozytoriach wszystkich dystry-
bucji. Jeżeli zdecydujesz się na własnoręczne
budowanie aplikacji ze źródeł, to bardzo wie-
le przydatnych informacji znajdziesz w ich
dokumentacjach.

Konfiguracja bramy domyślnej

Zanim  przystąpimy  do  opisu  konfigura-
cji  routera,  zastanówmy  się,  w  jaki  spo-
sób komputery znajdujące się w naszej sie-
ci  będą  wiedziały,  które  urządzenie  pełni
jego  funkcje.  Ma  to  niebagatelne  znacze-
nie,  ponieważ  nadawca  pakietu  musi  znać
adres  urządzenia,  pod  które  pakiet  zosta-
nie przekazany.

Listing 4.

Konfiguracja demona RIPD – /etc/quagga/ripd.conf

hostname router
password haslo

enable

password haslo

router rip
network eth0
redistribute static
redistribute connected
service advanced-vty
log file /var/log/quagga/ripd.log
access-list loaclhost permin 127.0.0.1/32
access-list localhost deny any
line vty
access-class localhost

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

Każdy z interfejsów, jeżeli ma mieć

możliwość  komunikacji  z  adresami  spo-
za  sieci  lokalnej,  musi  posiadać  określony
adres  domyślnej  bramy  (default  gateway),
określający router, do którego wysyłane bę-
dą pakiety skierowane do adresów spoza sie-
ci lokalnej. W systemie Linux, w celu okre-
ślenia  adresu  domyślnej  bramy  należy  wy-
dać polecenie

route add default gw 192.168.1.1
eth0

gdzie

192.168.1.1

jest adresem routera,

eth0

– nazwą interfejsu sieciowego. Należy

mieć  na  uwadze  fakt,  iż  adres  routera  musi
należeć do tej samej podsieci, co nasz inter-
fejs.  Zmiany  wprowadzane  przy  użyciu  na-
rzędzia route nie są jednak trwałe – obowią-
zują do czasu ponownego uruchomienia sys-
temu.  Trwałą  zmianę  adresu  bramy  można
uzyskać poprzez dodanie linii

gateway 192.168.1.1

w plikach konfiguracyjnych interfejsów (ich
położenie różni się w zależności od dys-
trybucji; dla Debiana jest to /etc/network/
interfaces). Możliwe jest również użycie na-
rzędzi graficznych dostarczanych przez dys-
trybucję.

Routing pomiędzy podsieciami

Jedną  z  najczęściej  spotykanych  konfi-
guracji  jest  router  z  wieloma  interfejsami
sieciowymi,  z  których  każdy  znajduje  się
w  odrębnej  sieci  (mogą  to  być  np.  róż-
ne sieci lokalne). W takiej sytuacji jest on
zazwyczaj  wykorzystywany  do  trasowa-
nia  pakietów  pomiędzy  podsieciami.  Aby
umożliwić  komunikację  pomiędzy  siecia-
mi,  wystarczy  odpowiednie  skonfiguro-
wanie  bram  domyślnych  dla  komputerów
z poszczególnych podsieci oraz aktywowa-
nie  przekazywania  pakietów  na  routerze.
Przekazywanie  pakietów  można  aktywo-
wać za pomocą polecenia

echo 1 > /proc/sys/net/ipv4/ip_
forward

Jeżeli chcemy, aby przekazywanie pakietów
było aktywowane przy uruchomieniu kompu-
tera, do pliku /etc/sysctl.conf należy dodać li-
nijkę

ip.ipv4.ip_forward = 1

Konfiguracja routera jest nieco bardziej

skomplikowana w sytuacji, gdy podsieci nie
są podłączone do tego samego routera. W ta-
kim przypadku, konieczne jest dodanie odpo-

wiednich wpisów do tablic routingu. Możesz
użyć w tym celu narzędzia route:

route add -net adres_sieci/maska gw
adres_ip_interfejsu nazwa_interfejsu

Znaczenie poszczególnych opcji może wyma-
gać objaśnienia. Parametr

-net adres_sieci/

maska

określa adres sieci docelowej wraz z jej

maską. Parametr

gw adres_ip_interfejsu

określa adres IP interfejsu routera, za pomo-
cą którego przekazywane będą pakiety;

na-

zwa_interfejsu

oznacza symboliczną nazwę

interfejsu (np. eth2). Usunięcie zdefiniowanych
tras sprowadza się do wydania polecenia

route

del -net adres_sieci/maska

Zmiany wprowadzone za pomocą pole-

cenia route add obowiązują do czasu ponow-
nego uruchomienia systemu. Aby trwale zde-
finiować tabelę routingu, należy wprowadzić
zmiany w plikach konfiguracyjnych odpo-
wiednich interfejsów sieciowych. Nową tra-
sę dodajemy za pomocą linii

up route add -net adres_sieci/
maska gw adres_ip_interfejsu nazwa_
interfejsu

Znaczenie  opcji  konfiguracyjnych  jest  takie
samo jak powyżej. W zależności od dystry-
bucji,  położenie  plików  konfiguracyjnych
oraz  składnia  poleceń  może  się  różnić.  Po-
wyżej podany został opis dla dystrybucji De-
bian. W internecie znajdziesz wiele dodatko-
wych informacji na temat konfiguracji routin-
gu w innych dystrybucjach.

Konfiguracja translacji adresów

W trzeciej części cyklu pokazaliśmy, w jaki
sposób skonfigurować usługę NAT przy uży-
ciu urządzenia dedykowanego APPro 2405.
W tym paragrafie dowiemy się, jak uzyskać
ten sam efekt poprzez zastosowanie progra-
mu iptables.

Skrypt dokonujący odpowiedniej konfi-

guracji  przedstawiony  został  na  Listingu  1.
Pomimo  znacznej  objętości,  jego  działanie
jest bardzo proste. W pierwszej części skryp-
tu  definiujemy  zmienną  oznaczającą  nazwę
interfejsu WAN, za pomocą którego wysyła-
ne będą pakiety. Następnie wczytujemy nie-
zbędne moduły jądra. Jeżeli masz pewność,
że wymienione moduły są wbudowane w wy-
korzystywane przez Ciebie jądro, to możesz
pominąć ten krok.

Kolejnym krokiem jest usunięcie istnie-

jących reguł i łańcuchów (chains). Dokład-
nym opisem tych struktur zajmiemy się w na-
stępnej części artykułu, która w dużej mierze
poświęcona zostanie firewallom. Na chwilę
obecną, wystarczy nam wiedza, iż w progra-
mie iptables łańcuchy są zestawami reguł de-
finiujących operacje wykonywane na pakie-
tach. Standardowo, w podstawowej tabeli fil-
trującej pakiety (filter) dostępne są trzy pod-
stawowe łańcuchy:

• INPUT – zawierający reguły obsługi pa-

kietów przychodzących;

• FORWARD – zawierający reguły obsługi

pakietów routowanych przez hosta;

• OUTPUT – zawierający reguły obsługi

pakietów wychodzących.

Listing 5.

Konfiguracja demona OSPFD – /etc/quagga/ospfd.conf

hostname router
password haslo

enable

password haslo

log file /var/log/quagga/ospfd.log

interface eth0
ip ospf authentication message-digest
ip ospf message-digest-key 1 md5 haslo

router ospf
   ospf router-id 192.168.1.1
   network 192.168.1.0/0 area 0
   redistribute connected
   redistribute static
   area 0.0.0.0 authentication message-digest

access-list localhost permit 127.0.0.1/32
access-list localhost deny any
line vty
access class localhost

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

• W tabeli szczególnie interesującej nas

z punktu widzenia tego akapitu, a mia-
nowicie nat, istnieją trzy łańcuchy:

• PREROUTING – zawierający reguły ob-

sługi pakietów przed routowaniem;

• OUTPUT – zawierający reguły obsługi

pakietów wychodzących;

• POSTROUTING – zawierający reguły

obsługi pakietów po routowaniu.

Oprócz tego, dostępna jest tablica mangle,
która umożliwia dodanie reguł modyfikują-
cych nagłówki pakietów. O jej zastosowaniu
powiemy więcej w następnej części cyklu.

Następnym etapem działania naszego

skryptu jest ustawienie domyślnych reguł ob-
sługi. Wszystkie połączenia są akceptowane
przez nasz router – jest to dobry punkt wyj-
ścia do dalszej konfiguracji. Powinniśmy
również pamiętać o dodaniu linii odpowia-
dających konfiguracji interfejsu lo, będącego
programową pętlą zwrotną, służącą do testo-
wania oprogramowania sieciowego.

Ostatnim krokiem skryptu jest ustawie-

nie  właściwej  translacji  adresów.  Składnia
tego  polecenia  może  wymagać  wyjaśnie-
nia,  tak  więc  omówimy  znaczenie  poszcze-
gólnych parametrów. Parametr

-t nat

ozna-

cza, iż ma zostać zmieniona konfiguracja ta-
beli nat. Parametry

-A POSTROUTING

oraz

-o $WAN_INTERFACE

informują program ip-

tables, że zmiany mają mieć miejsce po ro-
utowaniu,  dla  pakietów  wychodzących  in-
terfejsu  sieciowego  o  nazwie  zdefiniowanej
w  zmiennej

WAN_INTERFACE

. Dodanie opcji

-j MASQUERADE

aktywuje obsługę pakietów

poprzez mechanizm maskarady. Jeżeli inter-
fejs podłączony do sieci rozległej ma przypi-
sany stały adres IP, powinieneś użyć alterna-
tywnej opcji, przedstawionej w skrypcie. Jed-
na z opcji musi oczywiście zostać usunięta
przed wykonaniem skryptu (lub oznaczona
jako komentarz za pomocą znaku

W omawianym skrypcie nie stosuje-

my  filtrowania  pakietów  –  wszystkie  dane
są  przez  nasz  router  akceptowane.  Należy
pamiętać,  iż  takie  rozwiązanie  nie  jest  bez-
pieczne – doskonale nadaje się jednak do ce-
lów testowych. Więcej na temat zwiększania
bezpieczeństwa  routera  i  filtrowania  pakie-
tów powiemy w następnej części.

Routing dynamiczny

z zastosowaniem protokołu RIP

Przykłady konfiguracji przedstawione w po-
przednich paragrafach mają jedną wspólną
cechę – korzystają z routingu statycznego.
O ile w pewnych przypadkach takie rozwią-
zanie jest niemalże konieczne, o tyle w więk-

szości sieci powinniśmy rozważyć zastoso-
wanie protokołów wymiany informacji o ro-
utingu. Pozwoli to na przyspieszenie konfigu-
racji sieci oraz zapewni aktualność tablic ro-
utingu wszystkich urządzeń.

Protokół RIP

Protokół RIP (Routing Information Protocol)
jest najprostszym protokołem wymiany in-
formacji o trasach. Najlepiej nadaje się do za-
stosowania w sieciach korporacyjnych o nie-
wielkiej liczbie komputerów.

Routery z obsługą protokołu RIP rozgła-

szają  informacje  o  zawartości  tablic  traso-
wania co 30 sekund, przez co w przypadku
zmiany konfiguracji sieci routery zaktualizu-
ją swoją konfigurację dopiero po upłynięciu
tego  czasu.  RIP  posiada  również  ogranicze-
nie co do ilości przeskoków – ich maksymal-
na liczba wynosi 15. Nie jest to jednak pro-
blemem  nawet  w  przypadku  złożonych  sie-
ci lokalnych.

Obsługa protokołu

RIP w Linuksie – Quagga

Zarówno  protokół  RIP,  jak  i  opisany  w  na-
stępnym  paragrafie  OSPF  mają  swoje  im-
plementacje  przeznaczone  dla  systemu  Li-
nux. Zostały one zawarte w pakiecie Quag-
ga,  wraz  z  bardziej  złożonymi  protokołami
jak np. BGP (Border Gateway Protocol), któ-
rych z racji złożoności nie będziemy opisy-
wać w tym artykule.

Pakiet Quagga jest dostępny w repozy-

toriach  wszystkich  popularnych  dystrybucji.
Czytelnikom  chcącym  własnoręcznie  doko-
nać  kompilacji  polecam  odwiedzenie  stro-
ny projektu http://www.quagga.net/. Znajdu-
ją  się  tam  informacje  dotyczące  kompilacji,
instalacji i konfiguracji pakietu.

Konfiguracja protokołu

RIP w pakiecie Quagga

Zanim routery w naszej sieci będą w stanie
wymieniać między sobą informacje o trasach,
oszczędzając nam tym samym żmudnej kon-
figuracji, musimy poświęcić chwilę na skon-
figurowanie obsługi protokołu RIP w pakie-
cie Quagga.

Konfigurację powinniśmy rozpocząć

od  dokonania  zmiany  w  pliku  /etc/quagga/
daemons,  powodującej  aktywowanie  proto-
kołu  RIP  (Zebra  jest  demonem  zarządzają-
cym).  Zmiany  przedstawione  zostały  na  Li-
stingu 2.

Następnym krokiem jest utworzenie pli-

ków zawierających konfiguracje demonów:
zebra.conf i ripd.conf. Powinny się one zna-
leźć w katalogu /etc/quagga/.

Konfiguracja demona zebra odpowia-

dającego  za  obsługę  podstawowych  funk-
cji  pakietu  Quagga  została  przedstawiona
na  Listingu  3.  Parametr

hostname

zawiera

nazwę naszego routera (może ona być róż-
na od nazwy hosta na którym pakiet Quag-
ga został uruchomiony). Wiersze

password

oraz

enable password

powodują ustawie-

nie hasła i jego aktywację. Poprzez ustawie-
nie opcji

service advanced-vty

uzysku-

jemy większą funkcjonalność linii komend
pakietu Quagga, zaś parametr

log file

de-

finiuje plik logów. Dodanie linii rozpoczy-
nających się od frazy

access-list

definiuje

nową klasę dostępu do wiersza poleceń de-
mona Zebra: zezwalającą na logowanie je-
dynie z komputera lokalnego. Ostatnie dwie
linie powodują ustawienie obowiązującej
klasy dostępu.

Przykładowa konfiguracja demona RIPD

przedstawiona została na Listingu 4. Znacze-
nie części opcji konfiguracyjnych jest takie
samo jak w przypadku demona Zebra. Dyrek-
tywa

router rip

informuje, że chcemy ko-

rzystać z protokołu RIP. Interfejsy na których
nasłuchiwać ma RIPD dodajemy po opcji

ne-

twork

(w przypadku nasłuchiwania na wielu

interfejsach należy umieścić je w osobnych
liniach). Opcja

redistribute static

spo-

woduje wysyłanie informacji o trasach zde-
finiowanych statycznie, zaś

redistribu-

te connected

– informacji o wszystkich sie-

ciach, do których podłączony jest router. Zde-
finiowanie ścieżki dostępu do pliku z logami
jest możliwe przy użyciu opcji

log file

Konfiguracja demona RIPD jest już pra-

wie ukończona. Należy jeszcze zmienić wła-
ściciela plików ripd.conf i zebra.conf na qu-
agga za pomocą polecenia

chown quagga:quagga zebra.conf
ripd.conf

Demona RIPD uruchamiamy poleceniem

/etc/init.d/quagga start.

Przedstawiony  opis  dotyczy  dystrybucji  De-
bian. Użytkownikom innych dystrybucji pole-
cam zapoznanie się z informacjami zawartymi
na stronie głównej pakietu Quagga. Postać pli-
ków  konfiguracyjnych  pozostaje  oczywiście
taka  sama,  niezależnie  od  zastosowanej  dys-
trybucji.  Ewentualne  zmiany  mogą  dotyczyć
zmian w plikach konfiguracyjnych systemu.

Bezpieczeństwo protokołu RIP

Wszelka komunikacja pomiędzy routerami
obsługującymi protokół RIP odbywa się bez

luty 2010

Sieci komputerowe

Sieci komputerowe: część czwarta

www.lpmagazine.org

Sieci komputerowe

Sieci komputerowe: część czwarta

uwierzytelniania i szyfrowania. Aby zwięk-
szyć bezpieczeństwo routera, należy dodać
do pliku /etc/quagga/ripd.conf linie

key chain siec
key 1
key-string haslo
interface eth0
ip rip authentication mode md5
ip rip authentication key-chain
localnet

Spowodują one włączenie prostego uwierzy-
telniania routerów, co znacznie utrudni zada-
nie potencjalnemu włamywaczowi.

Monitorowanie pracy protokołu RIP

Po skonfigurowaniu protokołu RIP, nie po-
zostaje nam nic innego, jak tylko sprawdzić
jego działanie. Możemy tego dokonać przy
użyciu klienta telnet

telnet localhost 2602

Po zalogowaniu się możemy już sprawdzić
działanie demona RIPD poleceniami:

show

ip rip

show ip rip status

oraz

show

work-queues

. Więcej informacji na temat za-

stosowania wiersza poleceń demona RIPD
znajdziesz w dokumentacji pakietu Quagga.

Routing dynamiczny

z zastosowaniem protokołu OSPF

Protokół RIP sprawdza się doskonale w przy-
padku  sieci do  których  podłączona jest  nie-
wielka  liczba  komputerów.  W  przypadku
większych  sieci,  obsługiwanych  przez  dzie-
siątki lub setki routerów, zastosowanie proto-
kołu RIP może się okazać rozwiązaniem nie-
efektywnym. W takim przypadku powinieneś
skorzystać z możliwości, jakie daje protokół
OSPF (Open Shortest Path First).

Protokół OSPF

Protokół  OSPF  jest  protokołem  stanu  łą-
cza  (link-state  protocol)  –  oznacza  to,  iż
oprócz  okresowych  komunikatów  aktuali-
zacyjnych, informacje rozsyłane są w przy-
padku zmiany struktury sieci. W porówna-
niu do protokołu RIP, OSPF charakteryzu-
je  się  lepszą  skalowalnością,  większą  wy-

dajnością oraz brakiem ograniczenia do 15
przeskoków. Ponadto, okresowe komuni-
katy aktualizacyjne wysyłane są co 30 mi-
nut, co ma niebagatelne znaczenie w przy-
padku sieci o dużej liczbie routerów, ponie-
waż zmniejsza ilość ruchu rozgłoszeniowe-
go. OSPF umożliwia również podział sie-
ci na tzw. obszary, podłączone do wspólnej
sieci szkieletowej.

Konfiguracja protokołu

OSPF w pakiecie Quagga

Protokół OSPF jest obsługiwany przez pakiet
Quagga – nie ma potrzeby instalacji żadne-
go dodatkowego oprogramowania. Jego kon-
figuracja przebiega w sposób podobny, jak
protokołu RIP.

Zanim utworzymy pliki konfiguracyjne

dla demona OSPFD, upewnij się, że został
on aktywowany poprzez dodanie linii w pliku
/etc/quagga/daemons

ospfd=yes

Następnym  krokiem  jest  utworzenie  pliku
konfiguracyjnego  demona  OSPFD:  /etc/
quagga/ospfd.conf  (Listing  5).  Część  opcji
konfguracyjnych ma takie samo znacznie jak
w przypadku demona Zebra i RIPD. Dyrek-
tywa

interface eth0

powoduje dokonanie

zmian w obrębie konfiguracji interfejsu eth0.
Opcje

ip ospf authentication message-

digest

oraz

ip ospf message-digest-key

1 md5 haslo

zwiększają bezpieczeństwo po-

przez zastosowanie prostego uwierzytelnia-
nia hasłem

haslo

. Dyrektywa

router ospf

powoduje aktywację protokołu OSPF; pole-
cenie

ospf router-id

służy do ustawienia

identyfikacji routera na podstawie adresu IP.
Za pomocą opcji

network 192.168.1.0/0

area 0

dodajemy nową sieć do konfiguracji

routera oraz oznaczamy ją jako część obszaru
0. Konfiguracja uwierzytelniania w obrębie
obszaru została zmieniona za pomocą pole-
cenia

area 0.0.0.0 authentication mes-

sage-digest

Włączenie demona OSPFD odbywa się

w sposób opisany w paragrafie poświęco-
nym protokołowi RIP. Po chwili od urucho-
mienia protokołu OSPF możesz sprawdzić
dodane trasy.

Monitorowanie pracy protokołu OSPF

Monitorowanie pracy demona OSPFD odby-
wa się w sposób bardzo podobny, jak w przy-
padku demona RIPD. Jedyną różnicą jest in-
ny port na którym należy nawiązać połącze-
nie poprzez klienta telnet:

telnet localhost 2604

Opis dostępnych komend znajdziesz w doku-
mentacji demona OSPFD (

man ospfd

Podsumowanie

Tym  sposobem  dotarliśmy  do  końca  czwar-
tej części cyklu. Omówiliśmy w niej najważ-
niejsze zagadnienia związane z adresami IP,
maskami podsieci oraz trasowaniem statycz-
nym i dynamicznym. Dowiedziałeś się rów-
nież,  w  jaki  sposób  skonfigurować  dowol-
ną  dystrybucję  Linuksa  do  pracy  w  charak-
terze routera.

Po zapoznaniu się z informacjami zawar-

tymi w tej części cyklu potrafisz już zaprojek-
tować  i  zbudować  średnich  rozmiarów  sieć
komputerową,  określić  podział  na  podsieci
oraz  umiejscowienie  routerów  w  topologii
sieci.  Czytelnikom  zainteresowanym  dodat-
kowymi informacjami na ten temat polecam
zapoznanie się z dokumentacją wykorzysty-
wanych  aplikacji  oraz  dokumentami  RFC
opisujących  wykorzystane  przez  nas  proto-
koły routingu dynamicznego. Wiele przydat-
nych informacji znajdziesz również w doku-
mentacji wymienionych przez nas dystrybu-
cji – ich zastosowanie może niejednokrotnie
znacznie przyspieszyć konfigurację sieci oraz
ułatwić rozwiązywanie problemów pojawia-
jących się na etapie eksploatacji.

W następnej części cyklu zajmiemy się

zagadnieniami związanymi z zapewnieniem
bezpieczeństwa naszej sieci. Omówimy kon-
figurację firewalli, wirtualnych sieci prywat-
nych VPN. Dowiesz się również, w jaki spo-
sób należy zadbać o bezpieczeństwo systemu
serwera. Do usłyszenia!

Autor  interesuje  się  bezpieczeństwem
systemów  informatycznych,  programo-
waniem,  elektroniką,  muzyką  rockową,
architekturą  mikroprocesorów  oraz  za-
stosowaniem Linuksa w systemach wbu-
dowanych.
Kontakt z autorem: rl.kulaga@gmail.com

O autorze

•   Dokumenty RFC – http://www.rfc-editor.org/
•   Ipcalc – http://www.jodies.de/ipcalc
•   Strona główna pakietu Quagga – http://www.quagga.net/

W Sieci