Kohtvõrgu kaitse

Võrgudiagnostika

1. Sissejuhatus
2. Ping
3. Traceroute
4. Tcpdump
5. Nmap
6. Sissejuhatus

Enamus võrku toetavaid operatsioonisüsteeme sisaldavad programme, millega saab uurida kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte-kuritahtlikult. Tavaliselt on tuvastatav kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Näiteks toodud viiba järele saab teada, kas programm on kasutatav ka tavakasutaja (bash$) või ainult juurkasutaja (bash#) õigustes. Ping

Programmiga Ping saadetakse näidatud IP aadressil asuvale masinale iga natukese aja järel IMCP sõnum, millele tavaliselt adressaat vastab sarnase vastus-sõnumiga.

Kui võrk toimib ning IP filtritega pole Pingi kasutatavad IMCP paketid keelatud, siis järgneb andmevahetus, millest annab tunnistust selline programmiväljund

bash$ ping 193.40.10.11
PING www.zoo.edu.ee (193.40.0.11): 56 data bytes
64 bytes from 193.40.10.11: icmp_seq=0 ttl=250 time=20.0 ms
64 bytes from 193.40.10.11: icmp_seq=1 ttl=250 time=43.2 ms
64 bytes from 193.40.10.11: icmp_seq=2 ttl=250 time=18.9 ms
64 bytes from 193.40.10.11: icmp_seq=3 ttl=250 time=21.3 ms
64 bytes from 193.40.10.11: icmp_seq=4 ttl=250 time=18.4 ms
64 bytes from 193.40.10.11: icmp_seq=5 ttl=250 time=21.2 ms

--- www.zoo.edu.ee ping statistics ---
6 packets transmitted, 6 packets received, 0% packet loss
round-trip min/avg/max = 18.4/23.8/43.2 ms

Kui mingil põhjusel võrguühendus kõnealuse masinaga ei toimi, siis on Pingi väljud teistsugune :)

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mitte-töötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises. Traceroute

Programmiga Traceroute on võimalik jälgida milliseid marsruutereid teie poolt lähetatud IP paketid sihtpunkti jõudmiseks läbivad. Selle abil saab teha kindlaks, kus on võrgus rike.

bash$ traceroute 193.40.10.11
traceroute to www.zoo.edu.ee (193.40.10.11), 30 hops max, 40 byte packets
 1  tlk.mac.ee (193.40.61.129)  0.576 ms  0.452 ms  0.461 ms
 2  triibud.act.ee (193.45.13.145)  1.78 ms  30.71 ms  1.724 ms
 3  cache.eau.ee (193.40.25.251)  17.924 ms  25.529 ms  30.807 ms
 4  b1.eenet.ee (193.40.10.129)  18.58 ms  19.024 ms  31.599 ms
 5  kontor-gw.sebra.ee (193.40.10.45)  31 ms  35.796 ms  73.801 ms
 6  www.zoo.edu.ee (193.40.10.11)  18.283 ms  31.499 ms  19.611 ms 

Kasutades võtit -n ei püüa Traceroute nimesid lahendada. Tcpdump

Programmiga Tcpdump saab jälgida nende Etherneti meediumite peal toimuvat andmeliiklust, kuhu on arvuti otse võrguseadme abil külge ühendatud.

Näiteks kuvame masinaga www.zoo.edu.ee toimuvasse andmeliiklusse kuuluvate pakketide kohta käiva info kui parasjagu pingib teda kalake.zoo.tartu.ee

bash# tcpdump -i eth1 host www.zoo.edu.ee -a
tcpdump: listening on eth1
15:31:22.753413 kalake.zoo.tartu.ee > www.zoo.edu.ee: icmp: echo request
15:31:22.772729 www.zoo.edu.ee > kalake.zoo.tartu.ee: icmp: echo reply
15:31:23.750527 kalake.zoo.tartu.ee > www.zoo.edu.ee: icmp: echo request
15:31:23.769159 www.zoo.edu.ee > kalake.zoo.tartu.ee: icmp: echo reply

Kasutatud võtmed -i eth1 - millise meediumi peal toimuvat liiklust jälgida host www.zoo.edu.ee - millise masinaga seotud pakette kuulata -a - kirjutada aadressid ja pordid täheliselt välja

Tavaliselt peab Tcpdumpi kasutamiseks omama juurkasutaja õigusi. Nmap

Nmap on mõeldud masina poolt pakutavate portide skaneerimiseks eesmärgiga veenduda, et enda server on nii turvaline kui seda on kavatsetud. Programm püüab võtta ühendust kõigi näidatud masina TCP või UDP portide peal töötavate teenustega ning sel moel teha kindlaks millised teenused on vaatlusealuses masinas konfigureeritud. Traditsiooniliselt vastab konkreetsele pordile kindel teenus.

Näiteks teeme kindlaks milliseid teenuseid pakub www.zoo.edu.ee TCP portide peal

bash$ nmap www.zoo.edu.ee
starting nmap V. 2.12 by Fyodor (fyodor@dhp.com, www.insecure.org/nmap/)
Interesting ports on www.zoo.edu.ee (193.40.10.11):
(Not showing ports in state: filtered)
Port    State       Protocol  Service
21      open        tcp        ftp             
22      open        tcp        ssh             
23      open        tcp        telnet          
25      open        tcp        smtp            
53      open        tcp        domain          
80      open        tcp        http            
110     open        tcp        pop-3           
113     open        tcp        auth            
143     open        tcp        imap2 

Sellise käsuga saab teha kindlaks, milliseid teenuseid pakub www.zoo.edu.ee UDP portide peal bash# nmap -sU www.zoo.edu.ee