LAB 2 : ANALYS AV NÄTVERKSKOMMUNIKATION

Transkript

1 LAB 2 : ANALYS AV NÄTVERKSKOMMUNIKATION A. Nätverk och programvara Mål: Du skall sätta upp det nätverk och installera den programvara som behövs för senare delar av laborationen. Verktyg / Förberedelser: PC, nätverkskabel, hub. Gemensam switch (med VLAN), router och webserver med TinyWeb applikation PC skall ha Fluke (Optiview) Protocol Inspector och webläsare installerade. Steg 1 Koppla samman datorerna Arbeta tillsammans med en annan grupp. Båda grupperna sätter upp varsin PC, som dels skall vara klient till den egna gruppen, dels vara server till den andra gruppen. Markera i figuren vilken Grupp (1 eller 2) du tillhör. # anger den patchpanel/rack du skall ansluta dig till. Ange detta här: # = GRUPP 1 GRUPP 2 Ip adress: #.1 Ip adress #.2 Default Gateway: #.254 Default Gateway: #.254 Mats Westerborn 2IT 1(14)

2 Dra en sladd från er PC till de den hub ni delar med en annan grupp. OBS! Inga andra grupper än ni två som arbetar tillsammans får ansluta sig till er hubb! Dra en sladd från er hub till den den centrala switchen och den switchport som motsvarar er patchpanel/rack (# ovan). Steg 2 Ställ in ip-adresser Ställ in ip-adress, subnätmask och default gateway på din PC Starta ett dos-fönster på PCn (Start-Run-cmd) Kontrollera med ipconfig att adresserna är korrekta Kontrollera med ping att du har kontakt med default gateway och med den gemesamma webservern på Steg 3 Installera och starta TinyWeb webserver Hämta TinyWeb och TinyBox från den gemensamma webservern. Dessa ligger som zip-filer. Skapa ett bibliotek www på PCn och packa upp zip-filerna där. Installationsanvisningar finns på den gemensamma webservern Hämta den html-fil som TinyWeb skall använda som startsida för denna laboration och spara den som index.html i rätt bibliotek på din PC. Filen finns på den gemensamma webservern. Editera filen med notepad så att det syns tydligt vilken grupp den tillhör. Använd TinyBox för att starta TinyWeb webserver. Kontrollera att det fungerar genom att surfa till När den andra gruppen också är klar så skall det gå att surfa till respektive Visa läraren att det fungerar innan du går vidare till del B. Mats Westerborn 2IT 2(14)

3 B. Fluke Protocol Inspector Mål: Du skall bekanta dig med en sniffer-programvara, Fluke Protocol Inspector. Bakgrund: Protokollanalysatorer eller "sniffers", tillåter nätverksadministratören att analysera innehållet i den trafik som flyter i nätverket. En sniffer ger dig ofta möjlighet att i detalj studera protokollen i olika lager av OSI-modellen, speciellt de protokoll som ingår i lager 2, 3, 4, 5 och 7. Sniffers finns i gratisversioner och som licensierade program från kommersiella tillverkare. En licens för en sniffer kan kosta uppemot hundra tusen kronor och använda speciell hårdvara. I den här laborationen ska du få en orientering om hur gränssnittet till ett kommersiellt snifferprogram fungerar. Verktyg / Förberedelser: Dator med Fluke Protocol Inspector och webläsare. Datorn skall vara kopplad till ett nätverk och ha en IP-adress inställd. Vilken IP-adress har din dator: Arbetsgång I Fluke Protocol Inspector jobbar du med två separata fönster som du växlar mellan. Ett där du väljer enheten som ska samla in data och ett som kallas för "Detailed View". I "Detailed View" kan du titta på data som samlas in. För insamling av data används nätverkskortet i datorn eller så kan programmet ansluta till en annan dator och hämta data från dess nätverkskort. I den här laborationen ska du använda det lokala nätverkskortet. Steg 1 Starta programmet. Starta Fluke Protocol Inspector från startmenyn. Programmet visar tre fönster "Resource browser" här kan du välja vilken enhet som ska samla in data och det finns bara en sådan, NDIS Module (1) som är datorns nätverkskort. "Alarm browser" här kan ställa in olika händelser på nätverket som programmet skall bevaka och alarmera om "Module (1)" detta fönster visar data och aktiviteter för den valda modulen (i ert fall datorns nätverkskort) Mats Westerborn 2IT 3(14)

4 Steg 2 Växla till Detail View Gå till menyn "Module" och välj alternativet "Detailed View". Nu öppnas ett nytt, separat fönster. I "Detailed View" fönstret har du bara ett fönster öppet, "Utilization / Error Strip Chart (RX)". Här ser du i realtid information om hur hög del av bandbredden till din dator som används och hur många fel som uppstår i nätverket. Steg 3 Starta insamlingen För att styra inspelningen av data finns det två knappar i ikonraden. En grön "play"-knapp (triangel) och en röd "stopp"-knapp (kvadrat). Med dessa styr du när du ska starta och stoppa inspelningen. Om programmet inte har startat insamlingen av data automatiskt klickar du på startknappen. Vänta några minuter och observera under tiden att tidsskalan för "Utilization" och "Errors" rör sig samtidigt som eventuell trafik visar sig som toppar i "Utilization"-grafen. Steg 4 Generera nätverkstrafik Starta en webläsare (Internet Explorer) i ett nytt fönster och gå till adressen till den grupp du samabetar med, eller (där # är er patchpanel/rack) Steg 5 Titta på de olika vyerna Växla tillbaka till Protocol Inspector och se hur nätverkstrafiken till din dator gör utslag i grafen Utilization. Informationen uppdateras i realtid så du kan se hur grafer och siffror ändrar sig. Notera att skalan på utnyttjad bandbredd ställs in automatiskt. Även om det ser ut som du utnyttjar hela bandbredden så kanske maxvärdet på skalan bara är 0,5%. När utnyttjandet blir större, ändras skalan och tidigare toppar trycks ned. Välj även fliken Table under grafen. Där ser du antalet frames programmet har fångat (frames captured) och även vilka typer av frames det är. Vad är en Broadcast? Vad är en Unicast? I högra spalten finns en summering för eventuellt felaktiga frames. Steg 6 Monitor Views Programmet har även flera andra vyer som kan användas för att studera nätverket. Gå in på menyn "Monitor Views" och undersök de olika vyerna som finns där. Vad visar Frame Size distribution? Vilken är den minsta respektive största Frame Size som är tillåten på detta nätverk? Minsta: Största: Mats Westerborn 2IT 4(14)

5 Vad visar Protocol Distribution? Vad visar Host Table? Steg 7 Stoppa insamlingen Stoppa inspelningen (röd fyrkant i ikonraden). Stå kvar i Detail View Steg 8 Undersök insamlat data. Nu ska du titta på data som programmet har spelat in. Programmet spelar in alla frames som den ser på datorns nätverksanslutning och med funktionen "Capture View" kan du titta på dessa. Klicka på den gula ikonen (som ser ut som en liten byrå) i översta raden eller gå till menyn "Capture Views" och välj "Capture View". Nu öppnas ett nytt fönster, "Capture View" som har tre delar där du kan inspektera varje frame som spelats in. "Summary Pane" (översta delen) är en översikt över alla frames som spelats in. Varje rad motsvarar en frame. Det finns sju kolumner där den första är ett ordningsnummer som talar om vilken frame i ordningen det är. "Elapsed" anger hur många sekunder och delar av sekunder efter starten som framen spelades in. "Size" anger storleken i bytes på hela framen. "Destination" talar om destinationens MAC-adress och "Source" källans MAC-adress. "Summary ger en kort beskrivning av framen. Klickar du på en frame så visas information i mellersta och nedersta rutan också. Detail View Pane (mellersta rutan) visar all data om de protokoll-element som ingår i framen. Utseendet varierar beroende på vilka protokoll som är inkapslade i framen Hex Pane (nedersta rutan) visar hela framen exakt som den ser ut i hex- eller ASCII-kod. Orientera dig om de olika delarna av programmet och försök förstå hur Capture View är uppbyggd. Noteringar: Invänta klarttecken från läraren innan du går vidare till del C Mats Westerborn 2IT 5(14)

6 C. Studera ARP och PING och TCP/IP med Protocol Inspector Mål: Du skall använda dig av en sniffer-programvara, Fluke Protocol Inspector, för att få en insikt hur datorer kommunicerar på ett lokalt nätverk. Steg 1 - Anteckna dina IP- och MAC-adresser. I Windows 2000 öppnar du ett DOS-fönster (t.ex. genom att köra programmet Cmd från Kör /Run under Startknappen). Därefter kör du programmet Ipconfig /all från DOSprompten. IP-adress: MAC-adress (Physical address): Steg 2 Se till att ARP-tabellen är tom På ett Ethenet LAN måste man kommunicera med MAC-adresser. För att datorn skall kunna kommunicera med IP-adresser (t.ex. om du pingar eller surfar) lägger den upp en tabell över vilken MAC-adresser som hör till vilken IP-adress. Denna heter ARP-tabellen och byggs upp med hjälp av ARP (Address Resolution Protocol). För att datorn inte skall jobba med inaktuell information så töms ARP-tabellen efter ett par minuter. Från DOS-prompten, skriv DOS-kommadot arp a Vilken information ligger i tabellen? Pinga till granngruppens PC: Ping #.(1 eller 2) Får du svar från servern? Titta i ARP-tabellen igen (arp a). Vilken information ligger i tabellen? Ta bort informationen i tabellen genom att skriva arp d #.(1 eller 2) (eller vänta 2-3 minuter). Skriv arp a igen. Det skall inte finnas någon tabellrad för denna ip-adress längre. Steg 3 Starta inspelningen i Fluke Protocol Inspector Ta bort den gamla inspelningen genom att stänga ned både Capture View och Detail View. Gå sedan till Detail View igen ( Module Detail View ) Starta inspelning av nätverkstrafik (Gröna pilen) Steg 4 Pinga igen Se till att arp-tabellen är tom (se ovan). Pinga till granngruppens PC: Ping #.(1 eller 2) Förvissa dig om att du får svar. Pinga sedan även den gemensamma webservern på adressen Mats Westerborn 2IT 6(14)

7 Steg 5 - Stoppa inspelningen i Protocol Inspector Växla till Fluke Protocol Inspector (Detail View) och stoppa inspelningen av nätverkstrafik (röd fyrkant i ikon-raden). Steg 6 - Undersök inspelade data (ARP) Titta på de frames som din dator spelat in. Gå till Capture View (gula skåpet i ikonraden). När du ber din dator pinga till en IP-adress måste datorn först ta reda på vilken MAC-adress som hör till den IP-adressen. Ethernet-ramen måste adresseras med en MAC-adress. Datorn tar själv reda på MAC-adressen genom att använda ARP-protokollet (Address Resolution Protocol). Datorn skickar en ARP-fråga. Leta rätt på framen med ARP-frågan (ARP Request). ARP Q PA=XXX.XXX.XXX.XXX i Summary Pane (översta delen av bilden). Raden är grön. Klicka på den så du får upp alla detaljer i mellersta fönstret. Undersök framen, titta på MAC-adressen för sändare och mottagare. Se till att du tittar på den ARP-fråga som motsvarar första ping-kommandot. Vilken dator är avsändare av ARP-frågan (titta på MAC-adressen för Source)? Vilken dator är mottagare (MAC-adressen för Destination)? Vilket protokoll är inkapslat i Ethernet-framen? Leta rätt på ARP-svaret. (ARP R HA=XXXXXXXXXXXX i Summary Pane) och klicka på den. Vilken dator är avsändare av ARP-frågan (titta på MAC-adressen för Source)? Vilken dator är mottagare (MAC-adressen för Destination)? Steg 7 - Undersök inspelade data (Ping) Leta reda på det meddelande som motsvarar din dators ping-fråga. Protokollet heter ICMP (Internet Control Message Protocol) Vad heter meddelandet: Vad heter svaret: Mats Westerborn 2IT 7(14)

8 Steg 8 Använd Display Filter i Protocol Inspector 6B2940 Datornätverk - P När det blir mycket trafik och många inspelade ramar i databasen har man stor nytta av ett Display Filter, som t.ex. kan instrueras att endast visa ett viss protokoll, trafik till och/eller från en viss dator eller likande. Från Detail View, öppna Display Filter (Module Display Filter Create/Modify Display Filter) Under Available Filter Templates : Välj Ethernet EV2 ARP och klicka sedan Add. Nu skall ARP visas under Filter Creation Titta i Current Filter Template Display. Vad betyder tecknen och varför ligger de just i dessa två rutor? Aktivera filtret genom att klicka på den gröna tratten ( Load Filter ). Titta på Capture View igen nu skall endast ARP rader visas. Steg 9 Mera Ping Utöka filtret så att det även visar ICMP-meddelanden. Vilka värden ligger i Current Filter Template Display när vi vill se ICMP? Vad kommer det att stå i Templates Combination? För att filtret skall träda i kraft måste du först deaktivera det ( Unload Filter / överstruken tratt) och sedan ladda det igen. Du kan ha Capture View öppen hela tiden. Den ip-adress du pingade till ( ) stämmer inte med den ip-adress din dator skickade ut en arp-fråga om. Hur hänger det ihop? Invänta klarttecken från läraren innan du går vidare till del D Mats Westerborn 2IT 8(14)

9 D. Studera TCP/IP med Protocol Inspector Mål: Du skall använda dig av en sniffer-programvara, Fluke Protocol Inspector, för att få en insikt hur TCP/IP fungerar vid överföringen av en web-sida. Steg 1 Starta inspelningen i Fluke Protocol Inspector Ta bort den gamla inspelningen genom att stänga ned både Capture View och Detail View. Gå sedan till Detail View igen ( Module Detail View ) Starta inspelning av nätverkstrafik (Gröna pilen) Steg 2 Ladda ner en websida Om websidan redan finns lagrad på PCns hårddisk kommer den att hämtas därifrån i stället för över nätverket. Därför måste du tömma cache-minnet i Internet Explorer genom att välja Tools och sedan Internet Options. Under rubriken Temporary Internet Files välj Delete Files Klicka på OK och OK igen. Hämta sedan websidan genom att surfa till grann-gruppens PC eller 2)/ Steg 3 - Stoppa inspelningen i Protocol Inspector Växla till Fluke Protocol Inspector (Detail View) och stoppa inspelningen av nätverkstrafik (röd fyrkant i ikon-raden). Stäng av eventuellt displayfilter ( Unload Filter ). Steg 4 - Undersök inspelade data (TCP three way handshake) Titta på de frames som din dator spelat in. Gå till Capture View (gula skåpet i ikonraden). Datorn börjar som sist med att göra en arp-fråga. Leta rätt på den. När nu din dator vet MAC-adressen till webservern (som har IP-adress #.(1 eller 2) så kan den förbereda överföringen av websidan. Det första som händer är att TCP startar en three way handshake mellan din dator och servern. Du hittar denna som tre röda rader i Capture View. Förvissa dig om att du tittar på den three way handshake där du är klient. Din dators Macadress skall vara Source för första raden. Vilken dator skickar första TCP handshake meddelandet (första TCP-raden)? Vad är syftet med denna rad? Vilken TCP port är meddelandet ställt till? Till vilken port vill datorn ha svaret ställt? Vilken dator har genererat andra TCP-raden? Mats Westerborn 2IT 9(14)

10 Vad är syftet med denna rad? Har portnumreringen fungerat? Vilken dator har genererat tredje och sista TCP-raden? Vad är syftet med denna rad? Steg 5 - Undersök inspelade data (TCP Segmentation) När TCP startar upp en förbindelse meddelar den motparten vilken den största segmentstorleken som den kan hantera är. På det sättet kan segmentstorleken anpassas beroende på hur datorn (eller GPRS-telefonen ) är kopplad till Internet. Hitta den rad (i Summary Pane) i TCP handshaking, där din dator är avsändare och som är markerad med OPT (betyder att några options finns med) längst till höger. Klicka på den så du får alla detaljer i mittersta fönstret. I TCP-avsnittet mittersta fönstret kan du se vilka dessa options är ( Options present i vänstra kolumnen. En sådan är Maximum Segment Size. Hur stor är Maximum Segment Size: Efter att TCP Handshaking är klar börjar överföringen av data. Alla rader som har med överföringen av hemsidan att göra är markerade med HTTP i protokoll-kolumnen i Summary Pane. Dessa rader är blå (Application Layer) Först begär din dator att få hämta en viss sida. I Summary Pane heter raden GET /HTTP/1.1 Till vilken TCP port ställs frågan: Till vilken TCP port vill din dator ha svaret: Därefter bekräftar servern att den kan skicka data. OK och sedan börjar den skicka själva hemsidan. Varje paket med HTTP-data är markerat med data längst till höger i Summary Pane. Leta reda på en rad som har maximal framestorlek. Size i Summary Pane skall vara 1518 bytes. Klicka på den så du ser innehållet i mittersta fönstret. Hur många bytes vardera är: Data Link Header: FCS: Hela IP-paketet: IP-Headern: TCP-headern: Datainnehållet: (räkna antalet byte i Hex Pane fönstret) (räkna antalet byte i Hex Pane fönstret) (Framestorlek minus Data Link Header och FCS) (Står I IP Headern) (Står I TCP Headern) (IP-paketets storlek minus IP- och TCP-Headrar) Stämmer det med Max Segment Size: Mats Westerborn 2IT 10(14)

11 Steg 6 - Undersök inspelade data (TCP Acknowledgement) Efter ett par blå data-rader skickas en röd TCP-rad. Det är Acknowledgement på att data tagits emot. Sekvensnumret som bekräftas räknas upp med det antal som motsvarar antalet mottagna bytes. Kontrollera att det är din dator som skickar detta till Servern. Titta t.ex. på IP-adresserna för Source och Destination. Är det korrekt: Steg 7 - Undersök inspelade data (TCP Windowing) Window Size anger hur mycket utrymme som finns i bufferten, där inkommande data lagras innan det lämnas vidare till respektive applikation. Varje gång TCP skickar en acknowledgement passar det på att tala om aktuell windowstorlek. Sändaren av data får inte skicka mer data än Window Size innan sändaren måste vänta på ett acknowledgement. Däremot får mottagaren skicka ett acknowledgment tidigare. Titta hur Window Size förändras och titta efter om den i något läge blir så låg att sändaren slutar skicka data. Noteringar: Steg 8 Parallella Sessioner En bit ned i ditt inspelade data startas en eller flera ytterligare TCP sessioner. Du ser det på att TCP handshaking (SYN) dras igång nu på nya portar. Vad är syftet med att göra detta? Vad används portarna till? Redovisa laborationen för läraren innan du lämnar labsalen. Mats Westerborn 2IT 11(14)

12 Ethernet Header IP Header TCP Header Mats Westerborn 2IT 12(14)

13 Three way handshake Sliding Windows Mats Westerborn 2IT 13(14)

14 Rack nr: (markerat med # i diagrammet nedan) GRUPP 1 GRUPP 2 Ip adress: #.1 Ip adress #.2 Default Gateway: #.254 Default Gateway: #.254 Mats Westerborn 2IT 14(14)