- pracujeme v OS - Microsoft Windows Server 2022 21H2 (OS Build 20348.469)

 

 

HyperV - type 1 hypervisor (běží přímo na HW - x VirtualBox, který je type 2 - běží na OS)

- SW switche - privátní / externí - privátní vedou mezi sebou, externí se dá nastavit pro prostup do WAN

- checkpoint - binární image guesta, můžu vytvořit a vrátit se k němu

- 2 typy checkpointů:

- produkční - ideální pro ostré nasazení - uloží stav VM jako po řádném shutdownu

- standardní - ideální pro testovací provoz - uloží bitovou kopii aktuálního stavu, pokud na VM třeba běží databáze, může během procesu dojít ke ztrátě dat

- v HyperV settings můžu nastavit "enhanced session" - pak můžu sharovat clipboard, připojovat HW zařízení přímo k virtuálu atd - aplikace rdp (remote desktop protocol), uživatel můsí mít práva rdp usera

- je to jiný typ připojení než přes normální session

 

EDITIONS

- Windows Server 2016 Datacenter / Standard / Essentials - liší se hlavně licencováním, Standard má 1 host a 2 guest licence, Datacenter má 1 host a neomezeně guestů

- omezení v počtu jader procesoru, max 16 (legálně)

- licenční podmínky MS systémů jsou velmi složité, při sestavování čistě legálního serveru konzultovat, pro uživatelský přístup pak potřebujeme ještě CAL na jednotlivé users

 

- server s GUI - cca 25 GB

- server bez GUI - ServerCore - cca 4 GB

- Nano Server - cca 0,4 GB - ukončeno ve verzi 2019, dostupné jako kontejner

 

# sconfig //v cmd bez grafiky průvodce nastavením

 

PŘI INSTALACI

- lze zvolit mezi Server Core (výchozí je bez grafiky, pozor GUI nejde doinstalovat) a Server with Desktop Experience 

- Windows PE startují do RAMdisku, disky serveru jsou "offline"

 

ROLE SERVERU

- to jak se server nabízí uživatelům a co jim poskytuje za služby

 

SLUŽBY ROLÍ

- subkomponenty pod rolemi

- objeví se až když mám příslušnou roli nainstalovanou,

 

FUNKCE SERVERU

- funkce co nejsou pro klienty (např klient nepozná jestli mám disk zašifrovaný bitlockerem)

 

OVLÁDÁNÍ

- přes aplikaci Server Manager

 

Windows Deployment Services (WDS) - role serveru, můžu ho nastavit jako deployment, pokud instaluji nový host ze sítě, může ho využít uživatel

Deployment Image Servicing and Management tool (DISM) - nástroj na správu image, packages atd, můžu do image například doinstalovávat funkce; DISM pracuje se soubory .wim (windows imaging format), což jsou v podstatě

lépe uložené image OS, jeden file může obsahovat více verzí (home, pro, enterprise)

Microsoft Deployment Tool (MDT) - nástroj určený pro automatizaci instalace

Microsoft Management Console (MMC) - program kam si můžu přidávat volitelně administrátorské nástroje, se kterými pak pracuji;

- pozn. kdykoliv spouštím něco .msc (např services.msc), tak se spustí MMC.exe a okno se upraví aby zobrazovalo jen ten daný modul co jsem zavolal (přes task mgr se můžu podívat že běží mmc.exe)

 

 

pozn. než přišel PowerShell, šlo administrovat cmd přes JavaScript/VisualBasic atd, pořád vše funguje - potenciální security díra

 

 

#############################################################################################################################################################################################################################

########################################################################################### PowerShell #############################################################################################################

#############################################################################################################################################################################################################################

 

- sloveso - pomlčka - název objektu, se kterým pracuji

- v hranatých závorkách - nepovinné parametry

- pipe "|" - jako v linuxu, výstup z prvního příkazu je vstupem do druhého (např.: Get-Command | Measure-Object)

 

 

# Get-WindowsFeatures //vypíše feautres

# Get-Help //vypíše help, > Get-Help WindowsFeatures - vypíše info o WindowsFeatures

# Get-Command * | measure //vypíše kolik má powershell aktuálně k dispozici příkazů

# Get-ComputerInfo //vypíše info o počítači

# help <cmdlet> //vypíše help

# help <cmdlet> -

 

# sfc /scannow

# DISM /Cleanup-Image 

 

# Get-Command * -parameterName *feature* //vypíše všechny commands (*) které v sobě mají parametr feature

# Get-Command *service* -ParameterName *computername* //vypíše všechny commands které mají ve jméně service a můžu u nich použít parametr "computername"

# Get-Service a* //vypíše všechny služby který začínají písmenem a

# Get-Service a* | ft name, status //vypíše všechny služby který začínají písmenem a, ft - format table - udělá z ní tabulku, kde budou specifikované sloupce name a status

# Get-Service a* | Get-Member //zjistím co vše by šlo psát za pipe u třeba předchozího příkazu

# Get-Service | ft name, status, RequiredServices, DependentServices //takto může vypadat příkaz na jehož konci je tabulka se specifikovanými parametry

 

# Get-ADUser

# Get-ADUser -Filter * -Properties * |sort logoncount - Descending | ft name, sid, office, logoncount

 

# Get-Service | Out-Gridview | ft name, status, RequiredServices, DependentServices //grafický výstup v novém okně

# Get-Service | Out-Gridview -OutputMode Single | ft name, status, RequiredServices, DependentServices //output mode single - v novém okně můžu vybrat co chci a to se předá do pipe

# Get-Service | Out-Gridview -OutputMode Single | Stop-Service //např zde můžu v novém okně vybrat službu, po odkliknutí "okay" se předá do pipe a projde dalším příkazem (zde stop-service)

 

# Get-Command * -ParameterName *computer* | measure //vypíše počet příkazů, kde je parametr "computer name" - můžeme něco dělat vzdáleně

# Enable-PSRemoting //zapíná se na OS, který bude ovladatelný - poskytuje příležitost pro někoho jiného, aby ho remote ovládal (bude slave) - vždy potřebuji ale admin práva (není to bezpečnostní díra)

# Invoke-Command -ComputerName <name> -ScriptBlock {script} //co napíšu do složených závorek se provede na specifikovaném počítači (vzdáleně)

# Invoke-Command -ComputerName <name> -ScriptBlock {Get-ComputerInfo | ft Ostype, .....}

 

# Out-File <cesta k souboru> //výstup do textového souboru

 

1) zvolím příkaz (např Get-ADUser)

2) zkusím jaké parametry může mít (Get-ADUser | Get-Member)

3) může to po mně chtít filtr, můžu použít např *, občas musím napsat i že chci všechny parametry (??) # Get-ADUser -Filter * -Properties* | Get-Member

4) vyčtu co za parametry můžu použít

5) naformátuji do tabulky pomocí ft za pipe

 

> takže nejprve zjistím pomocí Get-Member, co všechno můžu zjistit vypsat, a pak to pomocí ft (format table) vypíšu

 

// když pustím session a virtuál běží, kdo vytváří GUI?

// kam se uklídají checkpointy a jak jsou velký?

 

# winrm qc //stejná funkce jako Enable-PSRemoting, čili: spustí funkci winrm, nastaví ji na automatický start se systémem, povolí její prostup na firewallu

# winrs -? //windows remote management, můžu spouštět a operovat se vzdáleným strojem

# winrs -r:<name> set //vypíše sadu proměnných na vzdáleném stroji

# winrs -r:<hostname> cmd.exe //spustí command prompt na vzdáleném stroji, všechny příkazy se budou aplikovat jako kdybych je psal tam

 

#############################################################################################################################################################################################################################

########################################################################################### ACTIVE DIRECTORY #########################################################################################################

#############################################################################################################################################################################################################################

- Azure Active Directory (nyní Entra ID) je v podstatě cloudová AD - standardní Active Directory je on-premise řešení

 

- Microsoft odděluje:

- autentizace - kontrola identity, má určitý výsledek - buď se v systému identita najde nebo ne, výsledkem je SID (Security ID) 

- autorizace - přidělení určitých oprávnění na základě identity, kontrola práv

- tato oblast se v Microsoftu jmenuje PIM/PAM (Priviledged Identity Management a Priviledged Access Management) - přidělování oprávnění atd.

- pozn.: primární otázkou u bezpečnosti je: jaké používám bezpečnostní protokoly?, často se bezpečnostní auditoři zaměřují na detaily, které nejsou tak zásadní jako například že mám povolené NTLM1 či NTLM2 (zastaralé protokoly)

- www.sevecek.com - dobré stránky na učení o těchto problematikách

 

# whoami /all //zobrazí vše ohledně mého loginu, SID i členství ve skupinách

 

autentizace:

- primární - musí vždy proběhnout, může být jen lokální a doménová 

- sekundární- může být lokální, doménová, cloudová (MS - Entra ID (Azure Active Directory), MSACCOUNT / další)

 

- access token - bezpečnostní známka, kde jsou všechny moje identity ze kterých si nesu práva

- workgroup - pokud nemám doménu, počítače ve stejné workgroup si mohou sdílet prostředky navzájem, designované pro menší sítě

- AD DS - role serveru, active directory domain services - po instalaci se ze serveru stane doménový řadič (domain controller)

 

- uživatelské !lokální! účty si můžu zobrazit přes regedit HKEY_LOCAL_MACHINE > SAM > Domains > Account > Users // můžu si nainjektovat hashe ostatních hesel/nainjektovat svoje heslo na ostatní účty

// můžu svoje heslo např nainjektovat do admin účtu přes regedit - SAM je velmi nezdabezpečená!

// zabezpečení můžeme zvýšit aspoň šifrováním disku bitlockerem - live linuxem se jinak můžu připojit k systému a lézt do toho všeho

// pokud se do registru nemůžu dostat, můžu si pravým kliknutím přidat oprávnění pro svůj účet

 

- Active Directory je adresářová služba, založená na LDAP, v její databázi jsou uloženy naše identity, které AD ověřuje

- funkci AD provozuje server, kde je nainstalovaná role ADDS - tento server se označuje jako doménový řadič (DC - domain controller)

 

- části:

- fyzické - Doménový řadič

- Data store ( C:\Windows\NTDS\NTDS.dit )

- SYSVOL ( C:\Windows\SYSVOL )

- Global Catalog Servers// tento řadič má více informací než standardní DC, pokud mám ve firmě pouze jeden DC, musí být Global

- Read-only Domain Controllers (RODC)// tento řadič slouží pouze pro čtení, nemůžeme do něj zapisovat (např. nelze změnit heslo z pohledu usera)

 

- logické - Domain

- Domain Tree// vznikají spojením více domén, vztahy parent-child, tree-root (obousměrné), existují i jednosměrné

- Forest

- AD Schema

- AD Site

 

- ve chvíli kdy mám více DC - musí se např. databáze účtů replikovat, pozor na to že některé změny se propisují až za nějakou dobu

 

# whoami /all // username: jméno se skládá z NetBIOS (doménového jména) / jména usera,

// SID - moje ID plus doménová část (pro všechny v jedné doméně stejná - GUID - globally unique ID) a na konci část mého unikátního doménového čísla (RID - relative identifier)

 

- Domain Tree - vzniká spojením více domén, např.: hlavní část firmy mám v Americe (to bude forest root doména), druhou v Evropě - jsou mezi nimi vztahy (parent-child trust, tree-root trust)

- toto jsou zároveň tzv. DNS zóny

- když nedědím název, jsem v 2. DNS zóně

 

- doména je rozdělena na - organizační jednotky (OU - organisation units) - objekty v AD, které mají tři hlavní účely - kontejner na separaci objektů, nejmenší objekt na který se dají aplikovat GPO

- kontejnery - jsou to systémové objekty na které nelze aplikovat group policy, obsahují další objekty

 

- doména (NTDS.dit) je rozdělena na tři logické části

- domain partition - praktická část, všechny objekty

- configuration partition- nastavení

- schema partition- popisuje strukturu a možnosti objektů (kolik mám tříd objektů, kolik atributů a vazbu mezi nimi) - editovatelné

 

# regsvr32 schmmgmt.dll //zaregistrujeme do registru dynamicky linkovanou knihovnu schema management - uschopnil jsem systém aby mohl editovat AD schema

// každá třída má ještě relationships - každý objekt má taky nějaké nadřízené objekty a ty můžou mít mandatory attributes, tudíž ty mandatory attributes se dědí

 

- přesunovat soubory z a do AD lze pomocí nástroje NTDSUtil.exe

- ADSI Edit - přístup do AD na servisní úrovni (něco jako regedit)

 

- Global Catalog - musí být v každé AD doméně, má index všech objektů z forestu (read only), drží i některé atributy z ostatních domń ve forestu, první DC v doméně je zároveň GC

 

# Get-ADDomainControler //vypíše info o DC

 

Instalace AD

- instalace role AD Domain Services // # Install-WindowsFeature AD-Domain-Services

- následné povýšení serveru na DC // Install-ADDSDomainController

- následná kontrola IP adresace + musím nastavit DNS

 

 

Domain functional level (DFL) - funkční úroveň - hodnota znamená jestli preferuji zpětnou kommpatibilitu nebo maximální vlastnosti; nemůže být nižší než FFL

Forrest functional level (FFL) - musí být kompatibilní s ostatními řadiči v doménovém forrestu - např. kvůli replikacím atd.

- pozn. nejnovější functional level je 2016 - v AD se nic dramatického už nevylepšilo v novějšich verzích Windows Serveru

- funkční úrovně můžu měnit - pravým tlačítkem v Active Directory Users and Computers kliknu na doménu - položka Raise domain functional level

 

- FSMO role na DC se neaktualizují samy, musíme to udělat ručně (PDC emulátorové role)

- BPA - best practices analyzer - analyzuje doménový řadič, zda je vše v pořádku

- v celém forrestu je jen 1 DC, který je schema controller - pouze na něm lze editovat schéma (atributy, třídy atd.)

- zároveň i RID master je pouze 1 DC v doméně (ale ne ve forrestu)

 

Základní správa tedy:

- AD Users and Computers

- AD Sites and Services

- AD Domains and Trusts

- AD Schema // nutná registrace pomocí příkazu regsvr32.exe schmmgmt.dll

- AD Administrative Center// grafické, dole píše příkazy co klikám přes GUI, lze zkopírovat a udělat z toho menší jakoby skripty

 

 

# New-ADUser <name> -Path "<path>" -AccountPassword (read-host -AsSecureString) -Enabled $true <heslo> // <path> musí být specifikována jako "ou=organizacni_jednotka,dc=organizacni_jednotka,dc=local"

// tímto v PowerShellu vytvořím usera s heslem do specifikované OU

- SamAccountName musí být vždy jedinečné v celé doméně

- UserPrincipalName musí být jedinečné v celém forrestu // čili to, že se mi nedaří vytvořit nového uživatele může mít za příčinu jednu z těchto věcí

// někdo v jiné doméně (ale stejném forrestu) může mít stejné UserPrincipalName

- povinné atributy jsou dva (v některých konzolích 3) - Full Name a SamAccountName

- vlastnosti uživatelů - klíčová je záložka "Account" // pozn.: důležité mít v AD Users and Computers > View > Advanced features tuto volbu zaškrtnutou

- mazání uživatelů - Microsoft doporučuje uživatele nemazat, spíše přesunout do speciální OU kde jsou všechny objekty ve stavu "disabled" a pomocí Group Policy jim zakázat spouštět jakékoliv aplikace

- při replikaci z dalších DC by navíc mohlo dojít k tomu, že se objekt nareplikuje zpátky

- pro řádné smazání se musí přidat atribut "isDeleted" na "$true" - objekt se proreplikuje, není vidět a za nějakou dobu (180 dní) se opravdu smažou (??)

- obnovu objektů (náhrobků) umí například LDP.exe

 

- sysinternals suite - z MS webu lze stáhnout sadu nástrojů které pracují na systémové úrovni (např AdRestore - umí obnovovat smazané objekty); useful i na jednotlivých stanicích

- volitelný odpadkový koš - lze zapnout "Enable Recycle Bin" v AD Administrative Center

- hesla uživatelů jsou uložena pouze jako hashe v NTDS.dit // pokud v nastavení účtu v záložce account zaškrtnu "store password using reversible encryption", je heslo opravdu uložené v AD, a dá se dešifrovat = bezpečnostní díra

 

Skupiny v AD

- groups jsou skupinové objekty, do kterých můžu řadit nejen usery, ale také počítače, objekty počítačů nebo ostatní groups

- např.: authenticated users - skupina, do které se objekt přiřadí pokud je úspěšně autentizován

- uživatel má díky členství v groups jejich práva

- při vytváření nové group musíme zadat

- název skupiny

- group type (security - má přidělena nějaká práva / distribution - pouze adresační prvek) 

- group scope - rozsah jejího použití (local - dá se použít jen v dané doméně; global - dá se použít v celém forrestu) a zároveň membership (koho můžu do té skupiny strkat);

- Local (použití v doméně, forrestový membership); Global (forrestové použití, doménový membership) ; Universal (forrestové použití, forrestový membership)// crazy pozn.: v MS materiálech se vyskytuje nejprve U - user; pak A - Account; nyní I - identity - vše referuje na to stejné

 

- best practice- Identity > Global Group > Domain Local Group (a té pak přiřazovat oprávnění)- globální skupiny používat jako typologie uživatele ( User_Eva > Group_Sekretářky > Print_Access_Group)

- Global Group (Group_Sekretářky) pak přiřazovat do DL groups, které mají určitá oprávnění, která pak nastavuji přes group policy editor - přehlednější

 

Výchozí skupiny

- nejvyšší práva mají Enterprise Admins - správci celého forrestu

- potom Administrators, buď global nebo local

- potom Operators

- Server Operators - mohou se starat o síťové služby a o sdílené složky (co je sdíleno, s jakými právy atd.)

 

- je dobré vytvářet a ukládat queries - např.: vytvořím dotaz na zobrazení všech uživatelů - new query, v poli "advanced" dám třeba "telex number" is not "nejaka silena hodnota", query spustim poklikáním

 

Speciální skupiny a identity

- Everyone// dost často se řeší jestli používat Everyone nebo Authenticated Users - autentizovat se musí pro vstup do domény každý 

- Authenticated Users// jsou zde i počítače, objekty prošly autentizací

- Anonymous logon

- Interactive

- Self

 

- Everyone i Authenticated Users vyžadují autentizaci (pokud chci povolit anonymní uživatele, musím použít skupinu "Anonymous Logon"); je mezi nimi rozdíl pouze v objektu "Guest" - v Everyone je, v Authenticated Users není

- rozdíl mezi skupinami je minimální, není to žádná security díra, protože i Guest má přihlašovací údaje, jen je v defaultu disabled

 

Computer accounts

- i počítače v doméně podléhají autentizaci, proto patří do skupiny Authenticated Users - mají elektronickou identitu; login končí znakem $, heslo (128 znaků) si mění automaticky každých 30 dní

- výchozím místem kde se vytvářejí účty počítačů v AD je kontejner Computers

- člověk musí zadat heslo, jehož hash se kontroluje oproti DC

- prvně se ale musí ověřit i počítač - Kerberos dělá dvojí autentizaci; i počítače tedy mají svoje heslo, které se vytváří automaticky (vůbec o něm nevím, ale probíhá jeho kontrola)

- může se mi stát, že toto heslo bude špatně - špatně se autentizuje počítač a nikdo se z něj tedy nepřihlásí

- v event vieweru - event 4624 znamená logon

 

Připojení PC do domény

1. způsob

- musím zkontrolovat síťařinu - prostup PC do sítě, dostupnost DNS serveru

- v ovládacích panelech > system and security > advanced system > system properties > computer name - Member of <domain>

2. způsob

- přidám počítač do OU "PCs"

- musím zadat jméno a upravit skupinu (/přidat usera), co bude moct počítač připojit do domény

3. způsob

- # djoin.exe /? // funguje i pro offline připojení do domény - na DC udělám djoin, přenesu si soubor na flashce na PC a djoinem ho ze souboru načtu - až se pak PC připojí tak už bude přidán do domény

 

- občas se na PC rozbije tzv. trust relationship (např. nesedí heslo atd., nebo síť může mít příliš velkou latency, během které expiruje platnost Kerberos ticketů - toto lze řešit např. QoS na aktivních prvcích, ne v AD)

- detekce problému - Nltest.exe /sc_verify:<domainname> ; Test-ComputerSecureChannel -Repair

- možnosti opravy - odpojení a následné připojení PC do domény; Netdom.exe /resetpwd (toto ale není v klientských OS); Reset-ComputerMachinePassword -Server <servername> -Credential <credentials>

 

Delegace pravomocí

- lze dělat na kontejnerech i na OU

- průvodce umí pouze přidávat, neumožňuje editovat či zobrazovat co jsem udělal - dělá pouze "usnadnění" zápisu nových práv do karty security

 

- pozn.: - vytvoření sdílené složky - vytvoření "publikace" - deklaruji že na nějakém počítači je nějaká sdílená složka (zadávám network path)

- jako uživatel pak dojdu do Windows Exploreru - Network - nahoře "Search Active Directory" - i obyčejný uživatel v některých případech může zobrazit všechny uživatele v doméně a nedá se tomu zabránit

 

#############################################################################################################################################################################################################################

########################################################################################### GROUP POLICY #########################################################################################################

#############################################################################################################################################################################################################################

 

- Microsoft má dva pilíře bezpečnosti (LSASS.exe)

- práva// v linuxu má třeba root práva automaticky, u MS ne; best practice je přidělovat práva přes groups

- policies// většinou se řeší přes OU

 

- potřebuji dvě povolovací známky, abych mohl udělat nějakou činnost - můžu být Enterprise Admin ale pokud jsem zakázán pomocí GPO, nemůžu dělat prakticky nic (čili můžu si jedním kliknutím zaříznout veškerou činnost)

- u každého uživatele tedy řeším dvě věci - z groups má práva a z OU se na něj vztahují politiky (best practice)

- práva se řídí "prioritou zákazu" - když uvnitř subsystému práv něco zakážu, má prioritu ten zákaz (pokud je uživatel ve dvou skupinách, jedna má věc X povolenou a druhá věc X zakázanou, bude ji mít zakázanou)

- politiky toto nemají, enabled i disabled mají stejnou váhu; GPO přiřazuju ke konkrétním OU, a na všechny objekty v tomto OU začne platit

 

GPO umí

 - změna nastavení PC nebo OS, změna nastavení uživatele, spouštění skriptů, instalace SW, mapování disků/tiskáren atd

 - nastavitelných jednostlivostí jsou tisíce

 

GPO má dvě části

- Computer configuration//

- User configuration//

 

- jsou věci které jdou nastavit pouze pro uživatele, věci které jdou nastavit pouze pro počítač a věci které jsou nastavit pro oba

- např.: smazat všechny ikony na ploše je věc uživatelská (desktop je v user configuration), zákaz aplikace winword.exe - v computer config to zakážu pro všechny uživatele na daném zařízení, v user config pro uživatele

- jelikož se první autentizuje v AD počítač a pak až teprve uživatel, systém první vyhodnocuje computer configuration

# gpupdate // CLI příkaz pro refresh GPO, může ho použít i uživatel - sám o sobě nedokáže pracovat remotely, pokud ho chceme spustit vzdáleně, musíme použít nějakou variantu remotingu

// většinou updatuje jen změnové údaje, parametrem force můžu říct ať updatuje úplně všechno

# Invoke-gpupdate // PS příkaz který dělá to samé, lze remotovat

- konzole GPMC - umožňuje kliknout na jakoukoliv OU a udělat auktualizaci zásad

 

- lokální politiky se aplikují hned, doménové mají intervaly 90 až 120 minut / lze ručně vynutit (gpupdate) / občas musím stanici i restartovat (v oficiální MS dokumentaci až 5 restartů) //pozn.: PC si může po restartu stáhnout třeba jen část, za další restart další část, pokud změním na DC v GPO třeba jen jednu věc a chci aby se mi propsala hned, můžu restartovat vážně hodněkrát a nikdy nevím jakou část si PC zrovna stáhne, takže to teoreticky můžu restartvoat jak kokot třeba 50x reálně

 

Lokální politiky

- C:\Windows\System32\GroupPolicy

- lokální objekt zásad platí pro lokální autentizaci, ale v rámci domény má nejnižší prioritu; pokud se přihlašuji lokálně, platí lokální politika, pokud doménově tak doménová

- existuje možnost mít více lokálních politik (např. pro různé účty)

- editace pomocí GPEdit.msc

 

Doménové politiky

- uložené částečně v databázi AD a v adresáři SYSVOL

- editace pomocí Group Policy Management Console (GPMC) - řídím vytváření nových GPO objektů, jejich linky, zálohování

- editace pomocí Group Policy Management Editor (GPME) - editace 

- pro správu GPO z klientského OS ke stažení nástroj - Remote Server Administration Tools (RSAT)

 

pozn.: MLGPO - multiple local group policy object (??)

 

Aplikace politik

- GPO si klienti stahují sami z DC (ze SYSVOLu)

- na klientech se o toto stará služba Group Policy Client, aplikování provádí Client Side Extensions (CSE); seznam CSE je v registrech (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\GPExtensions)

 

GPO má dvě části

- Container - v AD je jako objekt s atributy

- Template - co GPO nastavuje a jak; (adresář v sysvol, GPT.ini, registry.pol)

 

Výchozí doménové GPO

- default domain policy - politiky na hesla, vlastnosti Kerberos protokolu, Mastavení EFS Recovery Agenta atd.

- default domain controller policy - user rights assignments, nastavení auditování atd.

- dá se udělat GPO restore pomocí DCGPOFix.exe

 

- GPO lze navázat na 

- AD Site (ve výchozím stavu se nezobrazují)

- AD Domain

- AD Organizational Unit

- GPO nelze navázat přímo na

- Uživatele

- Skupinu

- Počítač

- Systémové kontejnery

 

- pro aplikaci GPO je vždy třeba vytvořit link, samy o sobě jsou uloženy v Group Policy Objects ale pokud nejsou linknuté na OU, neaplikují se

- GPO nezle navázat přímo na uživatele, filtrovat lze podle uživatele, počítače, skupiny - oprávnění Allow/Deny; pro aplikování GPO musí být zaškrtnuté - read, Apply Group Policy 

- reference guide - https://www.microsoft.com/en-us/download/details.aspx?id=25250 - excel soubory ke stažení

- hodně podstatných nastavení je zde - user config > policies > administrative templates > System //fungují zde filtry - když nevím jak se politika jmenuje

- spouštění programu po logonu, remove lock from locked account, atd

- existují ještě i preferences - tam si můžu zvolit spoustu dalších věcí co se dají aplikovat na objekty v doméně, zde item targeting = určím podmínky které musí objekt splňovat aby se něco uplatnilo

- Group Policy Modeling - určuji jaké GPO se budou aplikovat při různých situacích, např. jak dopadne politika když bude fungovat jen 1 řadič a bude pomalá síť

- loopback processing znamená, že se řídí vždy pomocí Local System group policy, ne doménovým a ne uživatelským policy

- v záložce detail lze (???) způsobem přes wizard vygenerovat dokument kde je napsaný vždy které je winning GPO pro danou věc

 

#############################################################################################################################################################################################################################

########################################################################################### NETWORK CONFIG #########################################################################################################

#############################################################################################################################################################################################################################

DHCP server

- IPv4 - klasicky static/dynamic

- DHCP ( DHCPDISCOVER > DHCPOFFER > DHCPREQUEST > DHCPACK ) // výchozí lease adresy u MS je 8 dní, většinou v půlce doby platnosti se lease prodlužuje

- instalace DHCP serveru - přidám v programu Server Manager roli serveru - DHCP; po instalaci jdu do konfigurace - pravým tlačítkem musím dát "authorize"

- New Scope - vyberu pool adres - volím adresy ze stejné sítě jako DHCP server, i stejnou masku

- volitelně mohou DNS a DHCP spolupracovat spolu, musí se konfigurovat na obou stranách - funkce je, že pokud se změní moje IP adresa, dynamicky se toto změní i v DNS databázi

- DHCP rezervace - pevné spojení MAC adresy a IP adresy - zaručená jedinečnost

- Scope Options - nepovinné údaje, typicky se ale zadávají 2 options - adresa DNS a adresa default gateway (v záložce Server options - aplikování pro celý server, Scope options - jen pro můj scope)

- 003 Router - to je default gateway

- 006 DNS Server - adresa DNS Serveru

- dalších spoustu celkem dost zajímavých options (NTP, atd.)

- DHCP security - lze jednak ověřit DHCP server v AD doméně, druhak nastavit na L2 DHCP snooping - nastavím na switchi, na kterém interface bude trusted DHCP server - pokud se někdo připojí jako DHCP server na jiný port, bude zakázán

- lze mít více DHCP serverů, lze nastavit partnership a v % jim určit load balancing

 

DNS server

- domain name resolution, hierarchická struktura - úplně navrchu je root (reprezentována tečkou), pod ním top-level domain (cz, sk, org, net,...), second-level (gopas.cz, seznam.cz) atd.

- celý svět je rozdělen na DNS zóny, v každé je minimálně 1 DNS server (autorithative DNS server), který drží veškeré záznamy z celé té zóny 

- DNS je hierarchický distribuovaný systém doménových jmen

- překládá jména na IP adres (A záznam), jména na jiná jména, IP adresy na jména; má na starosti i lokalizaci služeb (záznamy typu MX - SMTP servery; záznamy typu SRV - Active Directory; ...)

 

- počítače mohou mít jména:

- Host Name- až 255 znaků //typy překladových metod - pořadí 1)Cache, 2)LLMNR, 3)DNS; (názvová cache # ipconfig /displaydns) pozn.: dobré na zobrazení DNS jmen, kam se uživatel připojoval; když se dostanu do souboru host, můžu zakazovat uživateli přístup např. na různé stránky

- NetBIOS Name - až 16 znaků (resp. 15, poslední znak označuje službu); jsou označeny jako legacy, ale pořád jsou v doménách zapnuté

- NetBIOS jsou pořád jako "záložní" varianta používané, pokud aplikace nenajde HostName, zkouší ještě NetBIOS; ncpa.cpl - IPv4 config - Advanced TCP/IP settings - WINS - NetBIOS setting; obecně je doporučeno toto vypínat

- na DHCP serveru v Server Options - Advanced - Vendor Class: Microsoft Options - 001 Disable Netbios Option //vypne NetBIOS usage všem DHCP klientům (jen DHCP klientům!)

 

- instalace - přidám roli serveru jako DNS, musím mít práva a statickou IP adresu

- DNS Manager - Forward lookup zones // zde můžu třeba přidávat CNAME (aliasy, pod kterými pak lze přistupovat k IP adresám, DNS dělá překlad)

- FQDN - fully qualified domain name // když mam v DNS Manageru doménu gopas.local, v ní vytvořím poddoménu test, v ní poddoménu ahoj, v ní CNAME (odkaz na někoho třeba ve vyšší doméně) třeba dement

// bude FQDN co zadávám # ping dement.ahoj.test.gopas.local

 

Zóny DNS 

- dopředné zóny - překlad jmen na IP adresy

- reverzní zóny - překlad IP adres na jména

- Každá zóna (dopředná i reverzní) může dále být:

- Primární- plná kopie zóny, vždy zapisovatelná, obsahuje všechny typy záznamů// není povinná

- Sekundární- plná kopie primární zóny, read only// je povinná

- Stub- kopie primární zóny; pahýlová, není autoritativní, není plnohodnotná; slouží pouze pro nalezení DNS serverů

 

- nová zóna - pravým tlačítkem spustím wizard, zvolím typ zóny (na doménovém řadiči lze zvolit i možnost udělat integraci s AD, což Microsoft doporučuje, ale pozor, má to svá specifika!)

- dynamické updates - možnost jen když máme integraci s AD (při provázanosti s DHCP serverem je toto jasná volba zabezpečení, nikdo se nemůže vydávat za DHCP rogue server a upravovat záznamy DNS)

- při tvorbě sekundární zóny (na jiném DNS serveru) zprvu nefunguje transfer, musíme specifikovat kdo bude moct mojí databázi načítat

- AD integrated zóny mají svá specifika

- delegace zón - můžu deklarovat, že o doménu která je vedena na mém DNS serveru se bude starat někdo jiný (jen v DNS)

- u DNS i u DHCP jdou nastavit i policy (u DHCP - přiděl adresu, pokud jsou splněné nějaké podmínky); u DNS např.: na stejný dotaz budu vždy podle určitých podmínek odpovídat nějak jinak (např. čas atd)

- DNS dotazy - rekurzivní (zeptám se a počkám, až se vrátí odpověď pozitivní či negativní) / iterativní (zeptám se a spokojím se i s "nejlepší možnou" odpovědí)

- DNS odpovědi - Autoritativní - odpovídál server, který má DNS zónu přímo "na sobě"

- Neautoritativní - odpověď je získaná z cache/forwarderu

// když není odpověď na dotaz v DNSServerCache, podívám se do sekce Conditional Forwarding, zda nemám záznam o tom kdo by na dotaz odpověďět mohl

// můj firemní DNS sever může forwardovat jakékoliv vnější dotazy, co nejsou někam do mnou vedených domén, do DNS Serveru například providera

- pozn.: například v internetu - hledání www.seznam.cz -> DNS Servery si posílají dotazy tak, že můj požadavek jakoby "rozčlení" - nejdřív se zeptám roota, ten mě odkáže na DNS server domény "cz", ten na DNS co má "seznam"

 

Souborový systém a NTFS oprávnění

- souborové systémy NTFS a ReFS disponují možností nastavovat oprávnění (třeba FAT32 toto nemá) //ReFS je nejnovější Microsoft data storing technologie, použití v data centrech

- oprávnění jsou formou ACL

- priorita zákazu není absolutní - absolutní je priorita explicitních oprávnění oproti implicitním (zděděným) //pokud mám složku kam uživatel "Filip" nemá přístup, ale v ní je soubor ke kterému mu explicitně povolím přístup, pak se na něj dostane

- jsou 4 možnosti:

- Zděděné (implicitní) - allow/deny

- Explicitní - allow/deny

- existují i sdílená práva 

- sdílení složek- advanced sharing - nasdílím, přidám security principals co ke složce budou moct přistupovat a jejich oprávnění

- když už, používat advanced sharing položku!!! nikdy ne tu první "share", protože tím se z nějakého důvodu vymažou všechna práva co tam byla jinak nastavená

- NEPOUŽÍVAT SDÍLENÁ PRÁVA, POUZE LOKÁLNÍ 

- # Get-SmbShare; # New-SmbShare

- Computer Management - Create a Shared Folder Wizard//access-based enumeration - zobrazí uživateli složku jen když tam má přístup

- stínové kopie souborů - jedná se o "verzování" souborů a adresářů pomocí služby VSS (defaultně 2x denně)

- ze stínových kopií lze obnovovat předchozí verze souborů

 

- instalace přes server roles - po rozkliknutí se nabízí další možnosti // File and Storage Services > File and iSCSI Services

- File Server- Základ pro sdílení složek

- Deduplikace dat- Nemá GUI, dá se konfigurovat přes PS nebo Server Manager// pozn. existuje i hardware deduplikace (NetApp, EMC-Dell) - po 32kbit kouskách porovnávám kousky dat (na dedikovaném zařízení); zajímavá tematika z hlediska cloudu a data center

- v případě, že používám úložiště s deduplikací je na místě implementovat robustnější redundancy mechanismy - více logicky uspořádaných dat závisí na těch, co jsou uspořádané fyzicky, je dobré mít např. častější backup/replikaci

 

DFS

- masivní nadstavba nad sdílenymi složkami; čistá nadstavba (konfigurací nic, co už existuje neomezím)

- namespace - vymyšlená virtuální složka, která funguje jako nadstavba - do ní přidávám složky (až 60 tisíc složek na 1 namespace); klient si může přimapovat celý namespace

- 3 vrstvy (targets - folders - namespace) - v namespace můžou být namapovány složky např. z různých serverů, případně i z různých domén

- můžu spojovat i namespaces do sebe

- instalace - přidám roli serveru "DFS Namespaces" v záložce File and Storage Services

-ovládání pomocí nástroje DFS Management - New Namespace Wizard

- Domain-based - umožňuje doménovou adresaci dat (3 úrovně dat podle toho jestli jsou u mě na serveru nebo v jiná doméně)

- Stand-alone 

 

FSRM - file server resource manager

- podstatná součást každého file serveru, ovládá se přes File Server Resource Manager; (kdyžtak dokoukat na videích na yt)

 

Windows Firewall

- host based firewall integrovaný do Windows, má příchozí a odchozí pravidla

- Má tři profily nastavení // aktuální profil zjistíme přes PS příkazem # Get-NetConnectionProfile

- Domain- nikdy nevybíráme ručně, nastavuje se vždy automaticky

- Public- nastavujeme ručně, sám se nastaví, když nemáme nastavenou gateway na NIC

- Private- nastavujeme ručně, je méně restriktivní než Public

- logování do souboru nebo pomocí auditingu do security logu

- zastavení služby firewall nevypíná

- nastavení se dá exportovat do souboru (.wfw), můžu si třeba nakonfigurovat na PC, nechat si to schválit auditorem a pak to naexportovat do GPO domény

 

UAC - user account control

- má zabránit "neautorizovaným" změnám v konfiguraci, třeba že by mi něco mohl konfigurovat nějaký škodlivý kód (pojistka proti background útokům)

- nastavení v msconfig - záložka Tools (UserAccountSettings.exe)

- pomocí local policy/group policy // Local Policies - Security Options

 

BitLocker

- vestavěná technologie šifrování

- Volume-Based

- MS doporučuje, aby minimálně disk C byl zašifrován BitLockerem; lze ho samozřejmě použít i pro externí disky

- GPO:

- Administrative Templates - Windows Components - Bitlocker Drive Encryption; pro systémové disky - Operating System Drives

- Důležité i "Choose how users can recover BitLocker-protected drives" - zde můžu určit i záchranné informace

 

EFS - encrypted file system

- není to konkurence BitLocker, používá se na něco jiného

- šifrování jednotlivých souborů nebo adresářů, je potřeba EFS certifikát

 

Password Policy

- V GPO:

- Computer Configuration - Windows Settings - Security Settings - Account Policies - Password Policy

- v MS nejde aplikovat jiné password policies pro různé OU/objekty domény - nastavuje se pro celou doménu // pokud chci mít různé password policies, MS doporučuje prostě udělat více domén

- granulární politika hesel - Password Setting Objekty // moc často se nepoužívá, dělá se v AD Administrative Centru (Server Manager) (??) DDP - FGPP - PSC - PSO - PSS

// AD Administrative Center - <Domain> - System - Password Settings Container

// jméno, precedence (pro případnou kolizi s další politikou)

 

- account lockout policy se navztahuje na vestavěného administrátora (konec SID má 500); potenciální bezpečnostní díra, pokud znám jeho login jméno, můžu na něj bruteforcovat (nevztahuje se na něj politika lockout)

 

AppLocker

- nástupce Software Restriction Policy

- umí omezit spouštění aplikací a prostředků

- v GPO

- User Configuration - Administrative Templates - System- Don't run specified Windows application// zvolím, jaké aplikace se mohou spouštět

- Custom User Interface// můžu zvolit, jaká aplikace bude uživatelským interface

- Ctl + Alt + Del options - Remove ...// zvolím možnosti SAS 

 

- Computer Configuration - Policies - Windows Settings - Security Settings - Software Restriction Policies// pravidla jsou defaultně co není zakázáno, to je povoleno

- AppLocker - je závislý na systémové službě "aplikační identita" (která standardně neběží, tudíž ji musím spustit); // pravidla jsou defaultně co není povoleno, to je zakázáno

 

- symantec? co to je

- symantec.com

 

-PNETLab

-TightVNC Connection

-GNS3 - na simulaci celých IOS

-yersinia - tool na útoky na L2

-macof - v Kali nástroj na přeplnění MAC adress tabulky

 

- tap - něco jako SPAN ale lepší na odchytávání provozu

 

- DIX - Ethernet II

- 802.3 - jiny standard, taky Ethernet v podstatě ale má ve struktuře rámce za MAC adresací pole které označují délku rámce

 

PŘÍKAZY

 

enable //vstup do privilegovaného módu

configure terminal //vstup do konfiguračního módu

hostname <WORD> //změna hostname

do <příkaz> //když exec příkaz chci pustit v konfiguračním režimu (dobrej trik abych nemusel furt přepínat režimy)

no debug all //nebude mi už házet logy o ničem do konzole

no ip domain-lookup //nebude se snažit překládat příkazy přes DNS

logging synchronous //logy mi nebudou rušit příkazovou řádku (musim byt v prislusne line)

terminal length 0 //zrusi limit na pocet radku

 

copy running-config startup-config //copy running konfigurace do startup konfigurace -> vygeneruje seznam příkazů a uloží ho do ROM

copy startup-config running-config //pozor! není načtení konfigurace, pouze merge příkazů ze startup konfigurace do running!

//nahrání do running-config je vždy MERGE! pouze pokud ukládám do startup konfigurace, tak se to přepisuje

reload //restartuje, načte konfiguraci ze startupu

 

write // také lze používat pro uložení do startup-configu

 

POSLOUPNOST PRO PROVEDENÍ FACTORY RESETU

erase startup-config // smaže startup config

delete vlan.dat // smaže soubor kde jsou uložené VLANy

reload // restart

 

show version //vypíše info o switchi

show tech-support //show všeho, je dobré mít zapnuté logování do textového souboru

show processes cpu //vypíše zátěž cpu

 

show interface

show interface brief

show interfaces status

 

line console 0 //konfiguruji "console 0"

password <password> //nastaví password

login //povolí logování uživatele

exec-timeout <minuty> //nastaví timeout session na 5 minut

 

enable password <heslo> //heslo pro přechod do privilegovaného režimu

service password-encryption //spustí službu pro šifrování hesel, takže nejsou v konfiguračním souboru v plain-textu; už se nepoužívá, jednoduché na rozluštění

enable secret <heslo> //heslo pro přechod do privilegovaného režimu, heslo je ale zahashované (MD5)

user <user> secret <heslo>

no enable secret

 

interface vlan 1 //konfigurace interface vlan 1

vlan 1 //konfigurace přímo vlany neplést!

ip address <ip> <mask> //nastaví IP adresu na interface

description <description> //nastaví popisek

 

VTY

line vty 0 15 //jdu do konfigurace telnet 0-15

password <password> //nastavim heslo pro připojení na vty 

 

SSH připojení

-musím mít vygenerovaný klíč, na to musím být v doméně

ip domain-name <name> //přiřazení domény

crypto key generate rsa modulus <360-4096> //generace RSA klíče pro SSH komunikaci

crypto key generate ec keysize <256 nebo 354> //generace EC klíčů pro SSH komunikaci

show ip ssh //vypíše aktuální nastavení ssh

show crypto key mypubkey <ec/rsa> //zobrazí klíč

 

user <user> secret <heslo>

 

line vty 0 15 //konfiguruji virtual terminal linky 0-15

login local //lokální login pomocí účtů vytvořených ve switchi

transport input ssh //změna na ssh

ip ssh version 2 //chci jen verzi 2

 

VYPNUTÍ LOGOVÁNÍ

line console 0

logging synchronous

 

no ip domain-lookup

show running-config | include "text" //něco jako grep

 

VLAN a TRUNKING

- Trunk - cisco proprietární název, porty jsou v "access" módu k jednotlivým VLANám

- 1 VLAN = 1 IP subnet (je to dobré takhle dělat)

- pokud spolu chtějí zařízení komunikovat napříč VLAN, už je potřeba zásah L3 vrstvy

- možné alokovat dynamicky VLANy na porty podle připojeného zařízení (např přes RADIUS)

- fyzické interfacy jsou defaultně v tzv. dynamickém módu, musíme je přepnout

 

show vlan

vlan 10 //přepnutí do konfigurace vlan 10

vlan 10, 20, 30 /vytvoření více VLAN

name <name> //pojmenování VLAN

 

interface FastEthernet 0/1

switchport mode access //přepnutí interface do access módu

switchport access vlan <name> //přiřazení interface do VLAN

 

interface range FastEthernet 0/1-10 //konfigurujeme interfacy 1-10 najednou

 

interface FastEthernet 0/0

switchport mode trunk

switchport trunk encapsulation dot1q

 

switchport trunk allowed vlan remove <vlan list> //odebere vlany z trunk spoje

switchport trunk allowed vlan add <vlan list> //přidá vlany do trunk spoje

 

NASTAVENÍ SUBINTERFACE NA ROUTERU

- mám jeden trunk spoj, potřebuju více interface abych "oddělil" vlany na routeru - nastavím subinterface, sice jeden fyzický interface ale různé VLAN

-každý subinterface má svou IP adresu, který je gateway pro zařízení v dané VLAN

 

interface FastEthernet 0/0.xx //přepnu se na daný subinterface, je dobré "xx" napsat jako číslo VLANy, tedy třeba u VLAN 10 to bude subinterface 0/0.10

encapsulation dot1q <xx> //zapnu trunk enkapsulaci, za xx je dobré dávat číslo VLANy

ip address <ip> <mask> //nastavím IP adresu interface

 

VTP PROTOKOL

vtp domain <domain-name> //nastavení domény

vtp mode <client/server/transparent> //nastavení módu ve kterém switch pro vtp bude - server distribuuje, client přijímá a upravuje svou databázi, transparent jen přeposílá info ale databázi VLAN zanechává

vtp password <password> //nastavení hesla, musí být na switchích v jedné doméně stejné

vtp version <1/2/3> //nastavení vtp verze

show vtp status //zobrazí info o vtp

 

 

STP PROTOKOL

- aby se zabránilo smyčce v broadcástech

show spanning-tree

debug spanning-tree events //zapne logování spanning tree eventů

 

-pro různé VLANy můžu mít různé root bridge

spanning-tree vlan <num> root primary //nastavím switch jako root, pomocí makra na nastavení priority abychom to nemuseli počítat

 

-u rapid spanning tree musím správně nastavit edge porty/port fasty, linky musí být na point-to -point propojích (full duplex)

-tím zabráním u RSTP tomu, že PC připojené na switch který prochází změnou topologie nejsou 30s nedostupné

interface e0/0

spanning-tree link-type point-to-point //forced nastavení linky na point to point, ne shared

spanning-tree mode rapid-pvst

-pokud zapínám rapid spanning tree, musím na všech portech nastavit portfast

 

-dobré vždy aktivovat

interface ethernet x/x

spanning tree portfast

spanning tree bpduguard enable

spanning-tree guard root //po aktivaci na daném portu nikdy nebude SW s větším BID - nebude root

spanning-tree portfast trunk //pokud trunk vede například mezi switchem a routerem a chci tam portfast - musím nastavit toto

 

- prevailence spanning tree - pro jednotlivé VLAN

 

AGREGACE LINEK

interface range FastEthernet 0/1-5 //vyberu interface FastEthernet 0/1-5

channel-group 1 mode active //seskupim porty do skupiny

show etherchannel summary //vypíše info o etherchanellech

 

-to musíme udělat i na druhé straně, musí se shodovat; nejlepší je než něco nastavuju dát je do bundle, pak až konfigurovat celý bundle

default interface FastEthernet x/x //hodí interface do defaultu

default interface range FastEthernet x/x-x //hodí více zvolených interface do defaultu

 

interface range FastEthernet x/x-x //vyberu interfacy

channel-group <číslo> mode <active/passive> //přiřadím je do skupiny s určitým číslem a módem

port-channel load-balance <option> //nastavuju pomocí option jakým způsobem se bude řídit traffic flow, celkem složité mechanismy

- STP po tomhle nastavení vnímá bundlované interfacy jako jeden interf

- snažíme se o to, aby rámce přišly ve stejném pořadí a nebyl například narušen packet-flow -> pakety a rámce ze stejného flow jdou stejnou cestou

- je dobré se po čase podívat na to co se v bundlu děje, kudy rámce chodí nejčastějí (show interface x/x) (clear counters - vynuluje statistiky)

 

BEZPEČNOST

 

VLAN hopping

-defaultně je port we switchport modu dynamic - i když dáme switchport mode <mode>

switchport mode <mode>

switchport no negotiate

switchport access vlan <vlan> //povolit jen vlany které jsou opravdu potřeba

- změnit nativní VLANu na jiné číslo než defaultní

- nepoužívané porty dát do shutdown módu

- vytvořit si "parkovací" VLANu, nepoužívané porty přiřadit do ní (dvojitá ochrana)

- nepoužívat VLAN 1 (defaultní)

 

MAC útoky

- každý switch má tabulku MAC adres, drží si i MAC adresy které jsou za dalším switchem atd.

- v Kali - macof

- obrana - limitujeme kolik MAC adres se na jednom interface smí objevit;

switchport port security <parametry> //parametry - kolik MAC adres se na portu smí objevit (defaultně 1), 

//reakce na porušení pravidla:

//protect - nepustím jinou MAC dovnitř; 

//restrict - nepustím jinou MAC dovnitř a zapíšu do logu

//shutdown - interface se přepne do error disable stavu, administrátor musí resetovat (shutdown, pak no shutdown))

switchport port security //tím to aktivuju

- útočník ale může ukrást MAC adresu a vydávat se za ní - proto dávám parametr "shutdown", admin pak musí k portu přijít

 

DHCP útoky

- DHCP spoofing

- vyčerpání adres legálního DHCP, někdo se může vydávat za DHCP server - sám se pak vydává za default gateway, DNS server atd.

- obrana - DHCP snooping, switch rozpoznává DHCP odpovědi, přijímá je jen z "trusted" portů

- můžeme omezit počet DHCP komunikace

- DHCP snooping binding table - tabulka kterou si sestavuje switch z trusted portů o IP adresách příslušejících MAC adresám, 

- navazuje na ARP cache útoky (show arp, show ip arp)

- můžeme postavit i ACL

 

ARP cache poisoning

- útočník posílá podvržené ARP údaje, vydává se za někoho jiného (ukradne mu MAC adresu)

- router přeposílá provoz na něj, on forwarduje provoz k reálnému cíli - nepoznám to, pokud se nepodívám že na PC nebo na routeru mám jiné MAC adresy

- pozor na ICMP redirect pokud chci útok provádět

- z pohledu oběti se tomuto nedá bránit, musím jen dosáhnout toho že mi to je jedno že útočník provoz vidí (šifrování, certifikáty)

- z pohledu administrátora - dynamic ARP inspection - spoléhá na DHCP snooping binding table; statické adresy tam můžu napevno zadat

 

IP spoofing

- útočník předstírá IP adresu

ip source guard //kontroluje IP i MAC

- ICMP unreachable storm

- SYN flood

- ping of death

 

posloupnost obrany:

Port Security -> DHCP Snooping -> DAI -> IPSG

 

Odchytávání síťového provozu SPAN, RSPAN, ERSPAN (legální odchytávání provozu pro adminy)

- port mirroring - Switch Port Analyzer - provoz z jednoho portu se zrcadlí na jiný port kde mám nějaké zařízení kdy to odposlouchávám

- dá se odposlouchávat i celá VLAN

 

lokální SPAN:

monitor session <number> source interface <interface>

monitor session <number> destination interface <interface> //cílové rozhraní na které bude zrcadlen provoz

 

remote SPAN:

- vytvořím si speciální VLANu na všech switchích mezi zdrojem a cílem

- zrcadlím provoz do této VLANY

 

configure terminal

vlan 200

remote-span

end

show vlan remote-span

 

- na prvním switchi:

monitor session 1 source interface <interface>

monitor session 1 destination remote vlan 200

- na konci akorát naopak

 

ERSPAN:

- využívá balení zachycených rámců do GRE tunelu

 

 

- XR operating system routery jsou service oriented - zatím co IOS má konfiguraci focused na interfaces, na XR má konfigurační soubor vždy daná sližba (OSPF, MPLS, etc.)

- Small Form-factor Pluggable - port na routerech, do kterého můžu vložit modul, který jakoby převádí mezi nestandardním rozhraním a "ethernetem"

- podívat se na tvorbu VPN (L2 A L3) pomocí IPv6

 

KURZ Advanced MPLS

- MPLS je providerská funkcionalita, hlavní důvodem bylo poskytnout VPN služby

- IP routing je v podstatě celý závislý na destination IP (destination based routing)

- základním principem je že používání labelů místo IP, label má asociaci s cílem; LSR nedělají IP lookup, podívají se pouze na label, na základě LFIB switchují

- nedíváme se do payloadu (nemusím vědět IP adresy, nezajímá mě co je uvnitř - multiprotokolový) - přes MPLS síť můžu transportovat nejen pakety, ale i třeba rámce atd.

 

- dvě funkcionality

- control plane- v něm mám vždy dva mechanismy, nějaký routovací protokol, k němu LDP; 

- data plane - je v podstatě identický pro různé data planes - když máš např. paket s touto IP a s tímto labelem, vyměň ho za jiný label a pošli ho tímto interfacem ven (toto funguje kromě multicastu)

 

- většinou používám dva labely, ten venkovní určuje jak se dostat k cílovému PE, druhý label mi na cílovém PE řekne, co s tím paketem udělat (například může to být PE kde je více VPN se stejným IP rozsahem, nevěděl bych co s tím jinak)

- pozn. poslední label ve stacku má "end of stack"  bit, který ukazuje že je to poslední label ve stacku a dáll už začíná payload

 

- traffic engineering - můžeme nastavit labelovou path, paket pošleme specifickou cestou

- i QoS

 

- pokud chci naučit router nějaký nový kousek, stačí přidat tu konkrétní aplikaci do control plane, do data plane vůbec nemusím sahat

 

Label Allocation and Filtering

- musím vždy zajistit, aby fungovalo LDP i routovací protokol (už v okamžiku konfigurace)

- můžu nastavit automaticky aby se spouštělo LDP na každém interface, kde je routovací protokol // # mpls ldp auto-config

- label pool

- můžu určit range labelů (min = 16; max 1048575)// # show mpls label range

- musím router reloadovat aby se aplikoval nový rozsah!// # mpls label range <min> <max>

// mpls static binding ipv4 <prefix> <mask>   - v podstatě statická trasa

- nastavení aby box propagoval jen to co potřebuji, dá se svázat i s ACL aby to propagoval jen určitým sousedům // # mpls ldp advertise-labels for <net-acl> 

- můžu alokovat jen pro určité prefixy

# mpls ldp label

# allocate global {prefix-list {list-name | list-number} | host-routes}

 

MPLS basic tuning

- když vypadne jeden link, není to takový problém

- problém nastává když link zpátky naběhne, protože routovací protokoly naběhnou dříve než LDP - pokud nefungují labely, router labely odstraňuje a tím pádem se všechny pakety zahodí (v MPLS síti)

- řešení je zapnout LDP session protection - alternativní cesta mezi routerama, pokud jeden link spadne, LDP session zůstane up a neighbour label bindings zůstanou aktivní; (defaultně 24h, lze nastavit víc)

- další řešení je LDP IGP Sync

- Cisco - počká s establishem IGP sessiony dokud LDP nenaběhne úplně

- RFC 5443 - dokud je primární link spadlý, backup trasa je advertisovaná jako max IGP metrika, dokud LDP není opět plně operational

 

QoS in MPLS

- v IP záhlaví je specifické pole pro QoS, nebo můžeme dělat QoS podle ACL, road mapy nebo přímo IP adresy

- v MPLS - pakety si musíme nějakým způsobem označit, jelikož se nemůžeme dívat do paketu

- v MPLS hlavičce jsou 3 bity (původně experimentální, nyní traffic class) - můžeme udělat 8 typů služeb

- můžeme řešit point to point SLA - mezi dvěma body 

- Admission control

- Integrace s DiffServ (rozdělení do tříd)

 

- IP byla negarantovaná služba (není zaručené doručování paketů;)

- oproti tomu přístup RSVP (Resource Reservation Protocol) - úplná kontrola nad datovým tokem, zarezervuje prostředky pro každou session

- potřebujeme něco mezi tím:

- nesmí se rozpadnout IGP protokol

- něco pro management (SNMP, SYSLOG, ...)

- VPNky

- třídy pro kritický provoz

- ideální je tedy používat DiffServ (na hop to hop), k tomu navíc traffic engineering - posílat provoz specifickými linkami v závislosti na provozu

 

modely:

- point-to-cloud- řešíme QoS až na "last mile", na výstupu z MPLS sítě;

- point-to-point- řešíme konkrétní trasy přímo v MPLS síti

 

- DiffServ - defaultně se do MPLS DiffServ markingu (EXP) kopíruje QoS hodnota z IP paketu (DSCP) 

- Uniform mode - zákazníkovi zůstane naše hodnota

- Pipe mode - "namarkujeme" vlastní IP precedence pouze na průchod naší sítí; zákazníkovi zůstane jeho hodnota

- Short pipe mode

 

- DiffServ Traffic-Engineering - tvořím tunely na základě tříd

 

VPNky

- L3 - forwarduji pakety na základě L3 informací; lepší optimalizace, ale složitější negotiation

- L2 - forwarduji na základě L2 informací; v podstatě zákazníkovi pouze poskytuji "trubku" //na PE seberu od zákazníka pakety/ATM buňky/...; pošlu je přes Pseudowire - mezi dvěma PE

 

VPWS (AToM) - virtual private wire service;

- řízení L2 provozu přes páteřní MPLS síť (Ethernet, VLAN, ATM, Frame relay, SDH/PDH)

- konfigurace

- PE routery musí mít /32 adresu

- MPLS musí být v core povolena

- MTU musí být dostatečně veliká, aby se do ní vešel overhead (>1530 B)

- LDP router ID- # mpls ldp router-id <interface>

# xconnect <peer-router-id> <vcid> encapsulation mpls// na starších mpls l2transport route <peer-router-id> <vcid>

# pseudowire class <pwclass-name>

# encapsulation mpls

# xconnect <peer-router-id> <vcid> pw-class <class-name>

- konfigurace svázaná s access circuitem se dá konfigurovat i tak, že oddělím MPLS část

# interface pseudowire <psaudowire_id>

# neighbour <remote_LDP_id>

# interface <interface_type> <id>

# service instance <instance_id> ethernet

service instance config -> encapsulation dot1q xxx

rewrite ingress tag pop yyy symmetric

# l2vpn xconnect context <context_id>

# member pseudowire <pseudowire_id>

# member <interface_type> <if_id> service-instance <instance_id>

- toto je univerzální přístup, můžeme spojovat cokoliv (??)

- backup Pseudowire - používá se pro redundantní spoj, pokud bych měl jeden pseudowire a spadl by aktivní prvek po cestě, přestalo by to celé fungovat

- můžu nakonfigurovat backup spoj

- troubleshooting - # show mpls l2transport vc 30 detail

 

Virtual Private LAN Services (VPLS)

- CE je k PE připojeno pomocí attachment circuitu

- na PE je nakonfigurována VFI (virtual forwarding instance) - v ní jsou zakončené jednotlivé access circuity a jednotlivé pseudowires

 

VPLS signaling and BGP autodiscovery

- l2vpn/vpls - Martini and Kompella

 

DCI (Data Center Interconnect)

- chci mít všechny prvky datacentra na jakoby L2 propoji

- nemůžu mít STP, protože má extrémně pomalou konvergenci

- pokud mám mezi prvky MPLS síť, můžu vytvořit jakoby L2 propoj po ní, ve chvíli kdy to chci mít redundantní musím dát na obě strany více než jeden aktivní prvek, tím mi vzniká problematika

- řešení:

- Dark Fiber/DWDM - Catalyst 6500/800 VSS; Nexus 7000 vPC; ...

- MPLS- EoMPLS; VPLS a A-VPLS (Catalyst 6500/6800)

- IP- cokoliv co přenáší přes GRE (Catalyst 6500/6800); A-VPLS over GRE (Catalyst 6500/6800)

 

- A-VPLS přináší zlepšení VPLS, jakoby agreguji boxy na každé straně tak, že se tváří jako logický jeden

- A-VPLS over GRE (A-VPLSoGRE) - jelikož je GRE multiprokolový, dá se do něj zabalit i MPLS

- EVPN - technologie kdy v podstatě routuji MAC adresy (podle pro L3 VPN, pomocí BGP šířím dostupnost nějakého L2 segmentu, případně MAC adres)

- můžu připojit koncové zařízení tak, že má dva porty aktivní a síť zařídí, že nedojde ke smyčce

- Autodiscovery - bridge doména se naučí kde se nějaká MAC adresa nachází a s ní pracuje - předá jí do BGP a ten jí propaguje (podobně jako u L3 VPN se propaguje prefix za CEčkem)

- Multicast/Broadcast - tam nastává ten problém, z jednoho paketu jich musím udělat víc

 

Traffic Engineering (TE)

- ohnutí destination based routingu (IP síť jde vždy za nejkratší metrikou, potřebuji to z nějakého důvodu udělat jinak = TE)

- "the fish" - provoz půjde vždy přes cestu s nejlepší metrikou, i když bude ta cesta přetížená 

 

 

###########################################################################################################################################################################################################

############################################################################################ LABS ###################################################################################################

###########################################################################################################################################################################################################

Troubleshooting:

# show run // # show running-config | section <text>

# show running-config <interface>

# show ip interface brief

 

# show mpls ldp bindings

# show mpls ldp neighbor

# show mpls forwarding // # show mpls forwarding-table

 

# show bridge-domain <number>

# show xconnect all

# show bgp l2vpn vpls all summary

# show l2vpn rib detail

 

Configuration:

- allocate MPLS LDP labels ONLY for /32 prefixes

# configure terminal

# mpls ldp label

# allocate global host-routes

 

- Local Switching / Local Connect // jde o to, že vytvořím jakoby L2 propoj

# configure terminal

# bridge domain <X_number>// přepnutí do konkrétní bridge-domain konfigurace

# no mac learning// zakáže učení MAC adres

# interface <interface>// přepnutí do konfigurace konkrétního interface

# service instance <Y_number> ethernet

# bridge domain <X_number>// přiřadí bridge domain do interface

# interface <interface2>

# service instance <Z_number> ethernet

# bridge domain <X_number>

// přiřadili jsme dva interfacy do jedné bridge domainy - (??) nejsem si jistý, ale myslím že když máme na těchto dvou interfacech připojené dvě různé VLANy, můžu je tímto způsobem propojit

 

interfacy musí být nastavené nějak takto:

Na CE:

# show run interface gigabitEthernet 0/1.121

/ encapsulation dot1q 121

/ ip vrf forwarding 121

/ ip address <ip> <mask>

 

 

Na PE:

# show run interface gigabitEthernet <number>

/ no ip address

/ negotiation auto

/ no mop enabled

/ no sysid

/ service instance 121 ethernet

/   encapsulation dot1q

/   rewrite ingress tag pop 1 symmetric

 

- pro referenci check papírové materiály protože to než bych všechno přepsal tak mi reálně jebne

- pozn.:

- pro veškeré konfigurace používej jako referencei papírové materiály od ALEFu

- ta problematika je extrémně složitá, ale je to díky tomu že je tam hrozně moc protokolů a přístupů co jde použít; když se zaměříš postupně na jednotlivé věci, není to až tak složité

- don't lose your mind trying to figure it out, pokud se to budeš učit nebo to někdy potřebovat, rozkouskuj si to a kombinuj to s praktickými cvičeními!

ctrl + D //signal quit (ze sudo su, ssh připojení, ...)

ctrl + Z //pauses the task

ctrl + L //clears the screen

 

 

 

YaST

virtual machine manager 

 

# virt-manager

# zypper -- jako apt

# zypper in tree //tree file system view - stromová struktura

# tree - 

 

# df //zobrazí volné místo na disku (zastaralé, v kB)

# df -h //zobrazí human readable

 

NÁPOVĚDA

# man

# info

# whatis

# hwinfo //info o hardwarových zařízeních (všech)

# hwinfo --short //přehlednější

 

# info coreutils //dobré pro zorientování se jaké příkazy potřebuji pro specifickou věc co dělám

# uname -r //verze jádra a distro

# lsmod//list modules

 

# cd /usr/share/doc/packages //soubory které můžou ale nemusí obsahovat dokumentaci

 

stránky - documentation.suse.com -> SUSE Enterprise server - obsahuje online různé příručky pro to co chci se systémem dělat

 

# alias df="df -h" //vytvoří alias, při napsání df se nyní spustí df -h

# unalias df //vrátí zpět

 

# history clear

# ![číslo příkazu]  //spustí příkaz specifikované číslo

# echo $HISTSIZE [size(number)]  //echo vrátí hodnotu proměnné, která musí být označena dolarem na začátku

# ls *.conf //vypíše všechny (*) soubory které končí .conf

 

# set //zobrazí proměnné a funkce

# set | less //zobrazí proměnné

# echo $PROMĚNNÁ //vrátí proměnnou

//exportování proměnných - zobrazí se i v dalších shellech

# declare -x PROMĚNNÁ="hodnota" //export hodnoty

 

# echo Dnes je 13.5.2024 //fixované

# date //zobrazí datum

# date "+%d.%m.%Y" //zobrazí datum ve formátu

 

# echo Dnes je $(date "+%d.%m.%Y") //spustí příkaz uvnitř příkazu

# date "+%Y%m%d" //časové známky pro soubory

# DATUM=$(date "+%Y%m%d") //uložení do proměnné

# echo $DATUM //vrátí z proměnné datum

# echo $(( B + 3 ))

# echo $? //návratový kód

 

# mail //simple mail

# cat //text editor

 

# dmesg //ukáže posledních 64 řádků syslogu

# dd //bitová kopie soborů/zařízení

 

# dd if=/dev/random bs=1 count=8 2>/dev/null

# dd if=/dev/random bs=1 count=8 2>/dev/null | base64| cut -c 1-10

//přeloží řetězec do znakové sady base64 a omezí na určité znaky = proces používá pipe - funkce si předávají data

# ls -l | tr -s " " |cut -f 5,9 -d " " | sort -n

//translate - tr, -s =squeeze, pak vyber 5 a 9 pole, sort podle numeric

# id | tee id.txt //rozdvojka, jednak vypíše výstup a druhak vloží stejný výstup do souboru id.txt

 

# id;uptime //oddělení pro více příkazů na jeden řádek

// &&- spustí další příkaz pokud ten předtím dopadne dobře = return value je 0

// ||- spustí další příkaz pokud ten předtím dopadne chybně = return value je cokoliv kromě 0

 

********************************

PŘÍKAZY

 

# pwd //print working directory - ukáže kde aktuálně jsem

# cd //change directory - buťo zadávám absolutní cestu, nebo relativní (. nebo ..)

# ls //list - zobrazí co je 

# cp //copy - je třeba přidat -r (přidá rekurzivitu)

# mv //move - move zdroj cíl

# rm //remove - je třeba přidat -rf (rekurzivita a f (force))  

// pozor na příkaz "rm -rf /" - smaže vše v kořenovém adresáři, tj celý systém

# mkdir //make directory - vytvoří složku - pokud třeba 

//mkdir a/b/c tak se snaží vytvořit složku c ve složkách které neexistují, proto přidáváme -p (parental)

# rmdir //odstraní složku, používat spíš rm

# touch //vytvoří prázdný nový soubor; hodnota za rw-r--r-- [1] říká kolikrát je soubor v systému referencován

# ln soubor.txt hardlink.txt //místo kopie lze dělat pouze hardlinky

# ln -s //symlink (jméno které míří na jiné jméno, většinou hardlink)

 

VIEW FILE CONTENT

# cat [file] //concatenate - výpis kratších souborů -prohlížeč

# less [file] //rozdělí soubor na stránky -prohlížeč

# tac //reverse cat - zobrazí soubor od posledního řádku k prvnímu

# head //zobrazí prních 10 řádků

# tail //zobrazí posledních 10 řádků

 

# tar //tape archiver - archivní nástroj

# tar -cvzf archiv.tar.gz // -c create; -z komprimovat; -f filename, -v verbose; 

# tar -xf //-x extract

# rsync //kopíruje jen deltas mezi dvěma složkami, většinou po síti; 

//synchronizuje jen změny v souboru který chceme mít stejný na dvou zařízeních; funguje pomocí kontrolního součtu

# rsync -av /etc pc301:/tmp/ // -a archive -v verbose; používá SSH, lze zapnout komprese

 

# dd if=/dev/zero of=/image.img bs=1M count=100 //if - imput file of - output file; lze třeba udělat bitovou kopii jakéhokoliv souboru někam

# free //zobrazí vyrovnávací paměť

 

# find [path] [criterium] //hledání ve složkách dle jména či jiných parametrů - #find -size +100M //najde všechny soubory větší než 100M

# which [passwd] //který příkaz se spustí když zadám passwd

 

# type [ls] //ukáže co spouštím, zda jsou tam aliasy atd

# grep //prohledávání obsahu souborů

# grep [text] //najde jen specifikovaný text

 

# lsmod | grep e100 - vyhledá jen ovladač který má v názvu e100

 

# lsusb //zobrazí zařízení na USB

# lspci //zobrazí zařízení na na PCI, přes parametr -v (verbose) zobrazí více informací

# file /usr/bin/bash //vypíše o jaký soubor se jedná, v tomto případě je to cesta

 

# ssh uživatel@pocitac //ssh into PC

# logout //ukonceni

 

# scp /etc/motd uzivatel@pocitac:/etc/ //

# scp uzivatel@pocitac:/etc/motd /etc/ //

# sftp //

 

# rlogin

# rcp

 

NASTAVENI SSH

/.ssh/ //skyrtý adresář

 

# ssh-keygen -t rsa

 

SECURE GRUB WITH A PASSWORD

# sudo su

# grub2-mkpasswd-pbkdf2 //zahesluje grub, bez zadání hesla pak nejde spustit ani grub

# vim /etc/grub.d/40_custom //otevře v text editoru soubor ze kterého si bere grub nějaké věci

vložit tam:

set superusers="jmeno"

grub2-mkpasswd-pbkdf2 jmeno heslo //replace jmeno tim co chci a heslo taky tím co chci (heslo vkládat jako hash, vygenerováno v předchozím kroku!)

# grub2-mkconfig -o /boot/grub2/grub.cfg //uloží změnu

//když se to pokazí - spustit systém z jiného média, mountnout disk a upravit /boot/grub2/grub.cfg

 

SYSTEMCTL

# systemctl <start/stop/restart/reload/status> <služba>

# systemctl list-units -t //typ unit souboru

# systemctl list-dependencies //zobrazí výchozí stavy a seznam služeb které jsou potřeba pro dostání se do cílového stavu

//je možnost i měnit cílové stavy

 

PROCESY

# ps uax | head -5 //vlastník procesu, PID, využití procesoru %, virtual memory %, resources,

//TTY (teletype, řídící terminál (systémové procesy mají ?)),

//status (r-running, s-sleeping, t-zastavený, d-nepřerušitelný spánek, z-zombie (návratová hodnota není potvrzena rodičem, tudíž proces se nemůže ukončit))

# ps lax | head -5

# ps -ef | head -5

# ps -lu [user] //zobrazí procesy spuštěné specifikovaným userem

 

# gnome-system-monitor //spustí system monitor, uspím ho z terminálu ctrl + z

# jobs //vypíšu info o jobech v pozadí - vidím uspaný gnome-system-monitor

# ps -l //zobrazím si joby, vidím info o procesech

# bg 1 //znovu spustím monitor, v tomto případě proces 1 na listu

 

# pstree -up

 

#top //ukáže něco jako task manager

//hi - hardware interrupt, si - software interrupt

//výchozí výpis je průměr ze všech jader - klávesou "1" - výpis ze všech jader (pro kontrolu zda např aplikace neběží jednovláknově když nemá)

 

//swap - stránkovací soubor, když dojde RAM tak se do tohoto souboru přelijou data odtamtud 

// - počítač se ale třeba milionkrát zpomalí, pravidlo dvojnásobek RAM má být swap už dávno neplatí

//nově se používá zram - komprese a dekpmrese, alternativní swap, zpomalení je třeba "jen" 10x

//buff/cache se nepřemazává, data tam zůstávají načtena "lenivý přístup", available memory - reálně volná paměť kterou může systém poskytnout

//řadí dle cpu% defaultně; lze měnit doleva/doprava poumocí "<" a ">"

 

# kill

# kill -l //vypíše signály - používáme 15)SIGTERM (signal terminate) 9)SIGKILL (zavoláme aby proces zabilo jádro); pak 18) a 19)

# kill <PID> [signal]

# renice [číslo priority] jmenoprocesu //mění prioritu procesů

# jobs //zobrazí procesy co běží

# screen //více oken terminálu - spustím, ctrl + a a ctrl + c - vytvoří další okno; ctrl + a a " - vybírám si z otevřených oken; ctrl + d - detach screen; 

//sezení screenu přežije odhlášení (musím dát ctrl + d a když se přihlasuji znovu, dám screen -d; screen -list zobrazí sezení)

# crontab //cronos - čas; plánování procesů

//"when" pole - ***** - pozice každá minuta,každá hodina,každý den,každý měsíc,každý den v týdnu; např.: 02**1-5 - od pondělí do pátku vždy ve 2 ráno; 

# crontab [when] [who][what] //system cron jobs /etc/crontab (někde tam)

# anacron //plánování úloh které se opakují po nějakém čase, anarchystic cron

# at //schedule a task

 

UID a GID

# id //zobrazí current UID atd

# whoami

# getent //vypíše seznam všech entit

# getent passwd //

# getent group // vypíše skupiny a sekundární členství ve skupinách

 

# useradd

# usermod -m jmeno //vytvoří uživatele jmeno i s domovskou složkou

# passwd jmeno heslo //vytvoří mu heslo

# userdel //smaže uživatele

 

# groupadd [jmenoskupiny] //založí novou skupinu

# getent group //zobrazi skupiny

# usermod -a -G [jmenoskupiny] [uzivatel] //přiřadí uživatele do skupiny

 

PRÁVA

# chmod //

# chmod +x [soubor] //přidá executable 

# chmod 700 [soubor] //full práva má jen root

# chown //change ownership, změní vlastníka/vlastnickou skupinu

# chgrp //změní vlastnickou skupinu

 

skript - v linuxu textový soubor s příkazy, nastavíme mu spustitelnost

 

# umask //reguluje práva na nově vzniklé soubory

 

# setfacl //nastavení ACL, parametr -R zajistí rekurzivitu

# setfacl -m u:uživatel:rw file //nastaví konkrétní práva uživateli k souboru file

# setfacl -d -m u:uživatel:rw file //nastaví dědičnost ACL u dalších souborů vytvořených pod file (složky etc.)

# setfacl -x u:uživatel file //odebere ACL pro konkrétního uživatele

# setfacl -b file //odebere všechna ACL

# getfacl //zobrazí stav ACL

 

# visudo // otevře /etx/sudoers

//zde zakomentovat Defaults targetpw a ALL ALL=(ALL) ALL

//definovat User_Alias POWERUSERS = user1, user2, atd.

//Cmnd_Alias KPROCS = /bin/kill, /usr/bin/killall, další příkazy které chceme aby mohli uživatelé spouštět

//Host_Alias HOSTS = server1, zařízení na kterých cheme aby pracovali

// nyní pomocí aliasů definujeme co chceme aby kdo mohl dělat - POWERUSERS HOSTS = (root) KPROCS

 

# ls -l test.txt

# setfacl -m u:uzivatel:rw test.txt //místo u - g group

# ls -l test.txt //v příkazu se ve trojici skupiny už vypisují práva masky, jak je vidět v následujícím příkazu

# getfacl test.txt

 

# su user //switch user

# su -c "grep geeko /etc/shadow" //spustí jeden specifikovaný příkaz pod rootem (-c)

# newgrp //změní primární skupinu

# sg //změní primární skupinu

 

# getfactl rfkill //zobrazí přístupová práva (ACLka) pro rfkill

 

# sudo //switch user do; 

# visudo //vzměny ve složce "/etc/sudoers" | geeko ALL = /sbin/shutdown - uživatel geeko může spouštět /sbin/shutdown

 

# pkaction //zpbrazí registrované actions v pKitu, teď úplně nevím co to znamená (kdyžtak dohledat)

 

BALÍČKY

# rpm -i <package>.rpm //instalace (-i) rpm balíčku; (-v - verbose; -h - progressbar); --nodeps - ignoruje dependencies; --force - přepíše existující soubory

# rpm -i -v -h --nodeps --force <package>.rpm

# rpm -U <package>.rpm //update

# rpm -e <package>.rpm //erase, --nodeps

 

# rpm -qa | wc -l //word count, vypíše počet nainstalovaných balíčků

# rpm -qi <package> //query info

# rpm -ql <package> //zobrazí list souborů které nahrál specifický balíček

# rpm -qld <package> //dokumentace

# rpm -qlc <package> //konfigurace

# rpm -qf /absolutnícesta //zobrazí zda je soubor součástí nějakého balíčku, 

# rpm --checksig <package>.rpm //zkontroluje kontrolní součet balíčku před stažením

# rpm -V <package>.rpm//zkontroluje zda se balíček nezměnil po instalaci

 

# wget //webget, pro stahování z webu

 

# zypper lr //list repozitářů které máme nakonfigurované

# zypper ref 1 //refresh repozitářů

# cat openSUSE-Leap-15.4-1.rep //zobrazí info o repozitáři

# zypper ar <uri> <alias> //přidá repozitář

# zypper rr //odebere repozitář

# zypper se <package> //hledá balíček v repozitáři

# zypper if <package> //info o balíčku

# zypper in <package> //instaluje balíček

# zypper --non-interactive in <package> //instaluje balíček bez toho aby uživatel něco potvrzoval, užitečné ve skriptech

# zypper rm <package> //odstraní balíček

# zypper up //aktualizuje vše, co je možné aktualizovat - systém i všechny balíčky

# zypper lp //list ??

# zypper pchk //check for patches

# zypper patch //nainstaluje patche

# zypper dup //distribution update, za běhu systému

# zypper pt //list patternů

 

- Přidání disku s repozitáři

# mount -o loop /cestakzarizeni /mnt //mount zařízení do /mnt

# zypper ar /mnt nazev //přidání repozitáře

 

NETWORK MANAGEMENT

 

# ping <dest> //ping na destinaci, po cestě můžou být ale problémy a neznamená to že zařízení na druhé straně je nedostupné

// -c count; -I interface; -i seconds (intervaly mezi pakety); -f (pakety se posílají jak nejrychleji to jde); -I preload (posílá bez čekání na odpověď)

// -n numerický output IP adres, etc.

# traceroute <destination> //používá UDP datagramy, mění v nich TTL; parametr -n zobrazí IP adresy místo FQDN

# hostname <hostname> //změna hostname PC (dočasná)

# hostnamectl hostname <hostname> //změna hostname PC trvalá, lze to ale dělat i přes konfigurák v /etc/hostname

 

# ifup eth0 //zapne nakonfigurovaný interface

# ifdouwn eth0 //vypne nakonfigurovaný interface

# ifrenew eth0 //renew DHCP IP address

# ifstatus eth0 //display interface status

 

# ip <IP> //nastavení IP

# ip addr show //display IP address

# ip addr add 10.0.0.10/24 brd + dev <interface> //přidá IP na interface

# ip route show //zobrazí routovací tabulku

# ip route add <ip> dev <device> //přidá cestu do routovací tabulky

# ip link show //linková tabulka

# ip link set eth0 up //zapnutí konfigurace na linkové vrstvě na interface eth0 (netuším přesně k čemu to patří????)

 

// vi /etc/hosts - IP adrese můžu přiřadit více hostname, na ty pak reaguje ping

 

# ethtool eth0 //settings for eth0

 

# wicked show all //zobrazí všechna network nastavení

# wicked show <interface> //zobrazí nastavení konkrétního interfacu

# wicked show-xml all //zobrazí všechna network nastavení v xml

# wicked show-xml <interface> // to samé, v xml

 

# systemctl status firewalld //info o procesu

# firewall-cmd //info o firewalld

# firewall-cmd --runtime-to-permanent //zapíše konfiguraci do permanent paměti, musí následovat reload

# firewall-cmd reload //reload firewallu z permanent konfigurace

# firewall-cmd --list-all //zobrazí nastavení konkrétní zóny

//list ports a list services -- musíme kontrolovat obojí, nemusí být stejné při změně

# firewall-cmd --list-all --zone= //ukáže více informací

# firewall-cmd //lockdpown

# firewall-cmd Lockdown, Panic //zavře systém

# firewall-config

 

# firewall-cmd --state //check status firewallu

# firewall-cmd --get-zones //check jaké jsou všechny možné zóny

# firewall-cmd --get-default-zone //check jaká je defaultní zóna

# firewall-cmd --get-active-zone //check aktivních zón; úpravy zón je možno dělat /etc/firewalld/

# firewall-cmd --zone=public --list-interfaces --permanent //check zda eth0 je permanentně přidělené do public zóny, pokud není nastaveno tak je v té defaultní

# firewall-cmd --reload //reload runtime z permanentní konfigurace

# firewall-cmd --zone=public --add-interface=eth0 --permanent // permanentně přidá eth0 do zóny public

# firewall-cmd --zone=public --list-all (--permanent) // zobrazí konfiguraci specifikované zóny, pozor, je to různé od (--permanent); pod services jsou povolené služby

pozn.: dělat to jako u CISCO switchů, změny se projeví až po reloadu z permanentní konfigurace

 

STORAGE ADMINISTRATION

# parted //spustí parted

# select <device>

# mkpart <part-type> [<file-system>] <start> <end> //vytvoří oddíl můžou vznikat mezery mezi oddíly, nemusí na sebe navazovat

# rm <part-nuber> //smaže oddíl

 

# fdisk -l   //zobrazí všechny oddíly

# fdisk /dev/sda //spustí průvodce vytvořením oddílu sda

 

# lsblk //list blokových oddílů

 

# mkfs -t <type> //vytvořím file system určitého typu

# mkfs. //zobrazí dostupné file systémy pro vytvoření - ne všechny, pouze ty nainstalované

# mk2fs //

 

# mkfs.ext4 /dev/sdc1 //vytvořím ext4 na specifikovaném místě

 

# mount <co chceme připojit> <kam to chceme připojit> //připojí oddíl

# umount <adresář nebo místo> //odpojí oddíl

 

# mount -o remount <parametry> //připojí disk jiným způsobem než je aktuálně připojený, např.: při bootu; parametry rw - read write; ro - read only

# mount -o // options: rw, ro; atime, notime - access time do souboru je/není updatovaný; nodev, dev - zda umožníme reprezentaci zařízení jako souborů

// výchozí rw, suid, dev, exec, auto, nouser, async

 

# df //seznam souborových systémů připojených, -h - human readable

# du //kolik místa zabírají jednotlivé adresáře na disku; použití s parametrem -d [depth]

# du -hd 1 / //list rootovské složky

 

# lsof //ukáže, kolik souborů je otevřených

# fuser //máme soubor na disku, zajímá nás kdo používá tento soubor (např když nejde odpojit flashdisk)

# fsck //check file system

# tune2fs //ladění parametrů souborového systému

# resize2fs //změna velikosti souborového systému

 

LVM

1) Physical Volume

#pv //physical volume

2) Volume Group

# vgcreate <jmeno> </fyzickýsvazek>

# vgs

# vgdisplay

# vgscan

# vgextend

3) Logical Volume

# lvcreate -L <size in MB> -n <lv_name> <vg_name>

# lvcreate -L 300M -n zaloha <vg_name>

# lvs

- pak až to mountnout, přidat do /etc/fstab pro mermanentní připojení

 

RAID

# mdadm //konfigurace a sestavování RAID

# smartctl

 

BTRFS

# btrfs //ovládání btrfs

# btrfs subvolume //ovládání btrfs podsvazku

 

# btrfs filesystem usage / //nástroj pro zobrazení odhadu btrfs, kolik místa je na disku volných

 

NFS

# systemctl status nfs.service //balíček serveru se jmenuje nfs-kernerl-server

# exportfs -o ro,root_squash,sync 192.168.0.0/24:/software //vyexportuje složku software pro všechny počítače ze sítě 192.168.0.0/24

# exportfs //dočasně vyexportuje ihned, jinak až po restartu

 

client:

# mount

# rcrpcbind start

 

# vim /etc/fstab //přidat řádku, například - server1:data/ISOe /import/IOS nfs4 defaults 0 0

# mount - remount /mountpoint //zapsat změnu

# mount -a //obnoví vše z /etc/fstabu

 

# rpcinfo -p //info o rpcbind

 

NTP

# systemctl status chronyd

 

# chronyc sources //ukáže které servery máme nakonfigurované, jejich stratum, Poll - dvojková mocnina intervalu po kterém se ptá na server; LastRX - poslední update

//hvězdičkou je označený ten který je aktuálně vybrán, je nejpřesnější pro nás

# chrony

 

NFS

# systemctl stop firewalld

 

# mkdir -p /export/documentation

# setfacl -m g:users:rwx /export/documentation

# setfacl -d -m g:users:rwx /export/documentation

 

# cd /export/documentation

# cp -r /usr/share/doc/release-notes/* .

 

# zypper in yast2-nfs-server

# yast nfs_server &

- v NFS Server Configuration - NFS Server pane - radio button has Start selected, enable NFSv4 checkbox, NFSv4 domain name - suse.com

- přidat adresář /export/documentation do exportovaných 

 

# showmount -e localhost

# cat /etc/exports

 

client:

# systemctl stop firewalld

# mkdir -p /import

# yast2 nfs &

 

přidat hostname: <hostname>

remote directory /export/documentation

NFSv4 share: select

mount point /import/docs

 

flashka z kurzu:

ls

rozbalit adresář

bash install_lab_env.sh //musíme mít SLES nebo Leap

*****************

 

SUSE Linux

- v souborovém systému jsou i zařízení jsou uložena jako soubory

- LSB - linux standards base - standardizace sw pro vývojáře, i adresářový strom je pro debian/red hat a UNIX podobný/stejný

- FHS - Filesystem hierarchy standard -- spadá pod LSB standardy

- FHS je verzovaný dokument, dostupný jako pdf, oproti historii je adresářů pouze víc, každá distribude si může přidat navíc adresáře specifické pro distribuci

- linux nepoužívá písmenka pro disky, vše je součástí jednoho adresářového stromu - základ root ( / )

- disky používají mountopinty - když chci připojit disk, připojím ho pod nějakou cestu /usr/disk který si vytvořím - adresáře nevím zda jsou lokální nebo např síťové atd

- pod /usr a /var - 2vrstvá hierarchie, také standardizováno

 

 

SOUBOROVÝ SYSTÉM LINUXU

- z historických důvodů se šetřilo místo na disku, původní adresáře zděděné z UNIXu jsou třípísmenné zkratky

 

bin - binaries, např ls, atd. - pokud má soubor nastavenou spustitelnost, aby všichni uživatelé měli např pístup ke skriptu, musíme ho umístit do adresáře jako třeba bin

 

boot - start systému; start linuxu - zapneme počítač (BIOS, UEFI), ten prověří zda máme všechny komponenty, vybere zařízení ze kterého se bude startovat (master boot record)

tam je kód zavaděče - zavede jeden OS v jedné konkrétní verzi - lze se zde vracet ke starší verzi systému

grub - zavaděč linuxu; do paměti se nahraje jádro systému a ramdisk, kde jsou další data ke spouštění systému (vmlinuz - virtual memory)

initrd - inicializační soubory pro jádro, aby mohl PC nastartovat; jádro také obsahuje ovladače které systém je schopný nainstalovat

lze zavést i další ovladače jako takzvané moduly, initrd si sáhne do ovladačů, ty načte a pak je zahodí a jede se z ovladačů na disku

 

dev - devices, zařízení reprezentovaná soubory, např rtc (real time clock, udržují čas když je PC vypnutý), nvme - disky, diskové oddíly, grafika, cpu, snd - zvuková karta, porty

 

etc - et cetera - adresář obsahující konfiguraci, i seznam uživatelů /etc/passwd ; /etc/services - seznam portů které mají přiřazený konkrétní protokol

 

home - domovské adresáře uživatelů - dokumenty, soubory uživatele atd pro každý uživatelský účet - normální uživatelé nikam zapisovat nemůžou (kromě temp a home)

 

lib, lib64 - knihovny - souběh 32 a 64 bit aplikací, většinou kompilujeme 64 bit 

- je tam i adresář modules - jaderné adresáře, adresář dle verze jádra 5.14.21 (verze jádra) - 150400 (release) 

jádro - kernell www.kernell.org - přehled o aktuální verzi jádra (stable) 

longterm verze jádra - vanilla

adresář kernel - v něm jsou vlastní ovladače drivers/net/ethernet/intel/e1000e - e1000e.ko.zst (komprimovaný ovladač) .ko - kernell object

/lib/firmware - soubory (druhá část ovladače), první část je v jádře, druhá část zde - např pro intelovské wifi karty jsou zde jako iwlwifi-7265.ucode.

/lib64 - soubory xxxx.so (shared object)

 

mnt - mount - adresář pro ruční připojení dalších disků

 

opt - optional - adresář do kterého se nahrává komerční software, nějaká nadstavba - aby bylo jasně oddělené co je součástí

 

proc - processes - přípojný bod, je obrazem operační paměti (ramdisku); každý proces má PID (process ID); také sadu adresářů generovaných on demand (např modules - seznam ovladačů)

 

root - domovský adresář superuživatele - vždy lokální, home se často připojuje jako síťový velmi často; 

 

run - runtime - ramdisk - při vypnutém PC prázdný, lock, rsyslog/journal - logování systému; obraz konfigurace, vše co je runtime

- např po připojení flashky se připojí sem

 

sbin - system binary - programy které požadují oprávnění root - kontrola integrity souborových systémů, správa úložišť, audity etc.

 

selinux - konfigurace bezpečnostního frameworku - primárně pro red hat, SUSE používá apparmor, takže adresář je u suse prázdný

 

srv - data služeb serveru, ftp, www;

 

sys - speciální souborový systém, jak vidí hardware operační systém - na jakou zběrnici je připojeno zařízení, atd - propojené systémem symbolických odkazů

/bus/pci/devices - seznam zařízení připojených na sběrnici PCI; 

není to adresář pro běžnou práci, # lsusb, lspci

 

tmp - temporary - kdokoliv může nahrávat dočasná data, která po restartu zmizí - pracovní soubory

 

- u složek usr a var je dle FHS definovaná i druhá úroveň:

 

usr - obsahuje zase stejné složky jako / (kořenový adresář)

- src - zdrojový kód

- include - header files

- share - to co se jinam nehodilo - doc, man (manuálové stránky a info o systému)

 

var - variable - obsažená data která musí přežít restart systému

- var/lib - databáze nainstalovaných 

- postgress, mariaDB - ukládají data databáze sem

- rsyslog loguje sem

- spool - fronty, např pro mailserver - fronty souborů pro odeslání/přijetí, pro tiskový server fronty tisku atd

 

// X server (aplikace typu klient-server) - postupně nahrazuje Wayland (vyžaduje 3D akceleraci) - pro grafiku

 

// pozn.: root android - run busybox

//alpine

//tiguan

 

LINUX FILE TYPES

- 7 typů souborů

- soubor jako takový - sada dat adresovaných jedním názvem

- soubory reprezentující adresáře, podadresáře, symbolické linky (symlink) // ls -l  vypíše i informace další: první znak d - directory, l - link (odkaz)

- soubory reprezentující zařízení - /dev/

c - character device, zaleží na pořadí zápisu nebo čtení (např klávesnice),

b - block device - data ze zařízení jsou čtená po blocích (nvme zařízení(pevné disky))

p - pipe - soubor, používá se k meziprocesové komunikaci - jeden proces data zapíše, druhý je vyčte a soubor zůstane prázdný (destruktivní čtení)

s - socket - meziprocesová komunikace, oboustraná - souvislá komunikace dvou procesů /run/

 

- tedy: d - directory; l - link; c - character device; b - block device; p - pipe; s - socket

 

- vytvoření socketu - make fifo, dnes se používá D-bus - procesová sběrnice, program se tam připojí a ostatní programy s ním můžou komunikovat napřímo

- např označím něco kurzorem, každý program kam to chci vložit má pak přístup k tomu co jsem si označil - to má na starosti D-bus, memusí si vytvářet přímo soubor

 

inote - index note - blok metadat popisující informace o souboru // ls -i, ls -ial - obsah souboru, který reprezentuje adresář ve kterém právě jsem - jméno které ukazuje na nějaké místo na disku

hard linky - druhotné názvy souborů pro soubory na disku

# stat [file] //zobrazí informace které jsou v inote

symbolic link, soft link, symlink - neukazuje přímo na inote, ukazuje na jiné jméno

# ln //příkaz link, umí vytvářet hard/soft linky

# lsusb ID xxxx:xxxx -> idVendor:idProdukt //pokud chceme ověřit kompatibilitu, zda zařízení je podporováno v linux, musíme znát tyto dva údaje (id)

 

LINUX DEVICE NAMES for HARD DRIVES

 

SCASI

1. disk = /dev/sda

2. disk = /dev/sdb

 

sda1, sda2, sda3 - logické oddíly disku

 

SHELL

- více možností, program pro interakci se systémem

- v LINUXU BASH (born again shell), v Debianu i původní SH (z roku 1977)

- dále také C shell (syntaxe jazyka C);

- Ash

- Korn shell

- Z shell

 

po zadání příkazu do BASHe a stisknutí enteru BASH provede tzv. expanzi, zabránění expanze pro následující znak - zpětné lomítko \, pro delší string "$HOME     $UID", verbatim (zachová řetězec) '$HOME     $UID'

 

 

KOMUNIKAČNÍ KANÁLY

FD - file deskriptor -fd0, fd1, fd2 

 

stdin - standard imput

stdout - standard output

stderr - standard error

 

výstupy příkazů se dají nasměrovat - uložit např do souborů # ls > seznam.txt - výstup do plaintext souboru, po každém spuštění se přepisuje; při použití >> se přidává

chybový výstup - musím přidat 2>

např můžu přesměrovat chybové výstupy do různého souboru než nechybný # ls /dev/ /sdagsf/ > dobre.txt 2>chybne.txt

 

TEXTOVÝ EDITOR

nano //v SUSE se nepoužívá

vim //

midnight commander // #mc

joe

 

 

vim - vi improved - 26 bufferů, editace více souborů zároveň, textový editor/vývojové prostředí

- ovládání: pouze hlavní blok klávesnice

- po otevření - command mode - h,j,k,l (ekvivalent šipek); x maže

- editační mód - i (insert), esc - návrat do command mode

- y (yanking, kopírování) 

- u - undo

- r - redo

 

vim

 

SSH

- port 22

- Diffie-Hellman -pomocí napodobení "náhodných algorytmů" pro vytváření "náhodných čísel" by teoreticky mohl jít zjednodušit burteforce útok na vytváření DH prvočísel

 

WinSCP - pro windows dobré na kopírování souborů do linuxu/zpět

 

SSH Server

config file - /etc/ssh/sshd_config //nastavení

je dobré posunout port nad prvních 10000 - odfiltrování script kiddos, filtace sofistikovaných účastníků

je dobré zakázat přímé přihlášení na root

 

přihlašování pomocí SSH klíčů (asymetrická kryptografie) #ssh-keygen

ssh-copy-id -i id_rsa.pub uzivatel@pocitac #scp ~/.ssh/id_dsa.pub uzivatel@pocitac:pubkey

 

 

VNC - virtual network computing

- open source. není zabezpečený - používat v kombinaci s SSH tunelem!

- lze přistupovat přes webový prohlížeč

 

- with session management

- without session management

- don't allow remote administration

 

default TCP 5901

 

VNC via SSH

# zypper apache 2 //web server

# ssh -L 5454:192.168.3.105:80 192.168.3.105 //na localhost na portu 80 mám to co na cílovém portu

- "tunel" se dělá přesměrováním na porty kde je SSH, lokálně - provoz přehodím tam kde je SSH a pak je provos šifrovaný SSHčkem, předchůdce VPN

 

BOOT PORCESS

BIOS/UEFI -> Bootloader (Stage1(MBR) -> Stage2) -> HW (Kernel initramfs -> udev HW) -> systemd

 

initramfs - inicializační ramdisk - cpio archive, loaduje ho Linux kernel na RAM disk, je to takový "minilinux", obsahuje i základní ovladače, které jádro použije k připojení základních zařízení startu další ovladače z disku

UEFI - CPU independent architecture a drivery, MBR nahradila GPT tabulka, je více grafický, lze používat myš, vyžaduje důvěryhodnost toho co načítá, klíče;

GRUB vs GRUB2 - rozdílné konfigurační soubory, podpora více filesystémů, podporuje čtení z LVM a RAID zařízení

-grub má vlastní shell

/etc/default/grub - uživatelská nastavení GRUB2

 

 

SYSTEMD

systemd - náhrada správce "init" - obsahuje velké množství embedded funkcí, nevhodné pro specializované systémy

-schopnost paralelizace

- má vždy process ID 1

- další procesy jsou vždy spuštěny pod ním

 

unit files

/usr/lib/systemd/system

a

/etc/systemd/system

 

Service <service>.service

Target <target>.target

Sockets <socket>.socket

Path <path>.path

Timer <timer>.timer

Mountpoint <mount>.mount

Automount point <automount>.automount

Swap <swap>.swap

Device <device>.device

Scope/slice <scope>.scope <slice>.slice

 

aplikacím lze nastavit zabezpečení:

PrivateNetwork=yes

a další parametry omezující aplikaci které nevěříme

jail - pomocí příkazu chroot lze vytvořit "vězení" pro aplikaci, které tímto přiřadíme její vlastní kořenový adresář, pokud aplikace neběží pod rootem tak se nezle dostat pryč

- použití např při DNS serveru

 

pro ovládání systemd se používá příkaz #systemctl

 

PROCESY

procesy - uživatelské - spojené s terminálem, když zanikne terminál, zanikne i proces

- daemon - běží jako služby stále, nezávisle na tom zda PC někdo používá

 

-každý proces má PID (process ID)

-proces může volat další procesy, které mají parent-child vztahy, child procesy mají pPID (parent process ID)

 

# ps aux | head -5

//vlastník procesu, PID, využití procesoru %, virtual memory %, resources, TTY (teletype, řídící terminál (systémové procesy mají ?)), 

status (r-running, s-sleeping, t-zastavený, d-nepřerušitelný spánek, z-zombie (návratová hodnota není potvrzena rodičem, tudíž proces se nemůže ukončit)),

akumulovaný čas, cesta k programu

 

#ps lax | head -5

 

#pstree -up //zobrazí stromovou strukturu ve které běží procesy a jak na sebe navazují

#top

 

-každý proces má nějakou prioritu, dnes už existují kontrolní skupiny; čím nižší číslo, tím větší priorita

 

# nice //modifikátor priority, můžeme změnit až o 20

 

# screen 

# tmux //terminal multiplexor - kontrolní kombinace ctrl + B

 

 

# crontab //cronos - čas; plánování procesů (opakujících se)

# at //jednorázové spouštění procesů

 

USER and GROUP ID

- každý uživatel má své ID, UID nemusí být jen uživatelé ale třeba i procesy

každé UID vždy patří do alespoň jedné GID

# id //zobrazí current UID atd

# whoami

# getent //vypíše seznam všech entit

# getent passwd //

# getent group // vypíše skupiny a sekundární členství ve skupinách

 

/etc/passwd //uživatelé

/etc/shadow //hesla uživatelů a parametry hesel

/etc/group //složka s groups

/etc/default/useradd //složka s výchozími informacemi

 

/etc/skel //můžu vytvořit univerzálního uživatele kterého pomocí useradd a specifikace této složky do SKEL mohu kopírovat a vytvářet více účtů

 

YaST - user a group management - GUI nástroj pro správu uživatelů

 

OPRÁVNĚNÍ v SOUBOROVÉM SYSTÉMU

type and permissions; links; ownership; file size; modification time; file name

U G O - user group others

drwxr-xr-x 1 geeko users 230 Oct 7 09:06 report.bak

 

r - read

w - write

x - execute (u souborů spuštění, u adresářů právo vstupu)

 

- unix permission calculator - kombinace rwx odpovídá binární hodnotě, lze zadávat i binárně/hexadecimálně

- Sticky bit - přilepený bit - místo rwx má u others rwt - třeba u tmp - soubor který má sticky bit - jediný kdo smí zasahovat do souboru je jeho vlastník

- SGID - set group ID - místo rwx má u skupiny rws - podobné jako u sticky bitu, jen pro skupinu

- SUID - set user ID - místo rwx má u uživatele rws - sets the user ID of the process to that of the owner of the file when the program is run

- používá se např u uživatelské změny hesla přes # passwd

 

ACLs - access control lists

- možnost definovat u každého objektu (u každého souboru v linuxu) další práva

- důležité pojmy:

- třídy - vlastník, skupina, ostatní

- Access ACL

- Default ACL

- ACL entry

 

- maska - slouží pro omezení práv, co dám do masky tak se omezí v právech ostatních

- ACL jde uložit do souboru a z něj je aplikovat na různé soubory

 

pozn.: cifs, nfs(network file system) - souborové systémy které podporují integraci linuxového file serveru do windowsové sítě

 

/etc/sudoers - nastavení sudo 

Defaults targetpw

ALL ALL=(ALL) ALL - modify na - uživatel ALL=(ALL) NOPASSWD:ALL ; prakticky udělá z uživatele roota, superuživatele

 

Podporované aplikace:

PulseAudio; CUPS; gnome; libvirt; PolKit; PackageKit; System; YaST

 

SOFTWARE

- dříve se vše kompilovalo, dnes dostupné z "balíčků" //dohledat co je to přesně kompilace

- kompilování - po stažení - spuštění configure, vygeneruje makefile.am dle toho co přesně máme za zařízení, příkaz # Automake ho zkompiloval a příkaz # make install ho dá na disk

- nevýhody - nebylo zřejmé jaké knihovny jsou potřeba pro spuštění

-kompilace na jednom systému nezaručovala kompilaci na druhém

-špatná možnost updatu, s tím spojená bezpečnostní rizika

 

- nyní se používají balíčky - pro Red Hat a SUSE jsou specifické RPM balíčky (Red Hat Package Management), u Debianu jiné

- balíčkovací mechanismy - dostáváme už hotové programy, defacto klon systému toho kdo vytvořil distribuci

- s tím i RPM databáze - informace o nainstalovaných balíčcích, drží info o tom co všechno spadá pod jeden balíček, včetně metadat, dependencies na knihovnách

- lze verifikovat nynější stav oproti původnímu 

- na správu databáze potřebujeme manager - RPM package manager - instalace a odinstalace balíčků

- při instalaci balíčků se podívá jaké knihovny už jsou nainstalované a vyzve k doinstalaci dalších

 

- balíčky - jméno-verze-release.architektura.rpm (zypper-1.11.8-1.1.x86_64.rpm)

- Information header o balíčku, GPG Signature (kontrolní součet podepsaný klíčem toho co balíček vytvořil, pro kontrolu a zabezpečení)

- Instalační skripty - preinstalační, instalační, pre-odinstalační, poodinstalační

- CPIO Archive - archiv adresářů a souborů

 

# rpm - už se moc nepoužívá, jen pro interakci s RPM databází 

 

- dnes se používají repozitáře - např.: libzypp (((files in the system)RPM)libzypp) - automaticky doinstalovává dependency balíčky, nemusíme to dělat manuálně ale jen odsoulasíme

- repozitáře - sloužky, které obsahují RPM balíčky a meta-data

- můžou být lokální (offline, např instalačka), nebo online

- libzypp má dependency třeba na yum - yellowdog update manager

- patch (záplata) - obsahuje metdata která odkazují na přesná místa v kódu která chceme změnit, nemusíme pak znovu instalovat celý program

- delta RPMS - podobné jako patch, jen když vyjde celá nová verze která je podobná předchozí tak stáhne pouze to co se změnilo

- patterns - odkazuje na více balíčků, abychom nemuseli instalovat každý zvlášť

- products - obsahuje více patternů

 

libzypp - má své utilities - zypper, PackageKit, YaST

# zypper - repozitáře jsou reprezentovány soubory .repo v /etc/zypp/repos.d

- v repozitáři - package (samostatný balíček) a srcpackage (připravené ke kompilaci, zdrojový kód)

 

- lze řídit i moduly v YaSTu 

 

NETWORK MANAGEMENT

- v SLE se využívá ke správě služba Wicked

- firewalld - firewall daemon, jeho rozhraní

 

- pojmy:

- Device - zařízení (NIC)

- Interface - spojka se zařízením, interface na fyzickém zařízení

 

- konfigurace síťových adresářů je v  /etc/sysconfig/network/

- změna hostname - /etc/hostname/

- /etc/hosts/ - v malé síti můžeme používat místo DNS serveru, soubor distribuuju do všech zařízení v síti a oni se pak budou znát

- /etc/resolv.conf - 

- /etc/nss - name service switch - kde bude brát zdroje informací

 

- loopback adresa "lo:" - virtuální síťová adresa, bude tam vždycky

 

- typy interfaců:

-Basic

-Bonded bond0(eth0, eth1)

-VLAN Network Interface

-Network Bridge

 

-config file: ifcfg-ethX

 

WICKED

- 2 služby -wicked.service

-wickedd.service

 

 

firewalld -softwarový firewall, chová se jako paketový filtr, dívá se jen do hlavičky, ne dovnitř paketů - rychlé ale nedokáže odfiltrovat vše

-daemon process, /etc/firewalld/

- /etc/firewalld/firewalld.conf

-defaultně všechny porty uzavřené, pouze ICMP

-ovládání CLI (#firewall-cmd) a GUI 

-dvě konfigurace, runtime a permanent

 

- zones - definuje úroveň důvěryhodnosti pro konkrétní připojení; pro každou zónu můžeme použít jiná nastavení; správa síťového filtru #iptables a nebo novější #nft

- zóny nastavují pravidla, jsou hierarchicky uspořádány (extrémy - drop a trusted) - external - dělá NAT

- /etc/firewalld/

- user configurace /usr/lib/firewalld/

 

- target - výchozí cíl zóny, ; pakety by se měly zahazovat přímo

STORAGE ADMINISTRATION

- I/O Stack - Physical Storage Layer (fyzický disk)

- Disk Access Protocol Layer (PATA, SATA)

- Logical Storage Layer (Device-Mapper, MPIO, DM-RAID, LVM, MD)

- Block Device Layer (Block Device Files)

- File System Layer (Cluster File Systems, Traditional File Systems, Btrfs)

- File System Mount Layer (FHS - files and directories)

 

- máme prázdný disk, na něm musíme vytvořit datovou strukturu - MBR (mater boot record) a GPT (GUID partition table, novější způsob, oddíly jsou v tabulce identifikovány jednoznačným ID)

- konfigurační tools - YaST, fdisk, parted

 

- MBR a GPT:

- UEFI podporuje pouze GPT

- MBR- limitace do (32bitový identifikátor každého sektoru - limitace adresace do 2TB)

- občas se označuje jako MSDOS

- z prvního sektoru bootuje disk

- při požkození tabulky došlo ke ztrátě metadat 

- fyzické partitions /dev/sdx1 až /dev/sdx4

 

- GPT- 64bitové identifikátory, limit adresace do 9,2ZB

 

fdisk - kroky se dějí v paměti, teprve v posledním kroku se zeptá na realizaci změn; když něco pokazíme je jednodušší se vrátit zpět

 

parted - umí nejen rozdělit disk na logické oddíly ale i formátovat

- změny se dějí okamžitě, pozor na to

- podporuje skripty

 

- tabulka partitions které vidí jádro - /proc/partitions

 

- souborové systémy LINUXu

- používané: ext4, xfs, btrfs

 

- ext2 - staré 30 let

- ext3 - přidává žurnálování, dřív byl potřeba scan aby byla zajištěna integrita dat, toto přidalo žurnál který dodával jakési logování; kontroloval se žurnál; šlo i za chodu zvětšit souborový systém

- ext4 - 64bitová adresace

- xfs - navázáno na verzi jádra, srovnatelné se ext4 (má žurnál, 64bit, souborový systém lze zvětšit ale ne zmenšit)

- btrfs- souborový systém je typu "copy on write", nikdy nepřepisuje, pouze aktualizuje pointery; defacto je to databáze, transakce jsou atomické (nepotřebuje žurnál), můžeme se podívat jak vypadal soubor dřív

- lze dělat snapshoty celého souborového systému

- nevýhoda: zabere mnohem více místa; nevhodné pro databáze;

-VFAT- FAT16, FAT32, exFAT - také podpora

 

- uživatel nemusí řešit přechod mezi souborovým systémem díky VFS

- VFS - interface mezi procesy které zapisují data na disk a mezi souborovými systémy - dokáže emulovat vlastnosti které souborové systémy nemají

 

1)vytvořit oddíl

2)vytvořit file system

3)mount do adresáře pozn: flashdisky se připojují do /run/media/user

 

- alternativní cesty - /dev/disk

- můžeme nastavit kam se bude defaultně disk připojovat, systém poznává disk podle UUID - seznam /etc/fstab

- # blkid /dev/sdc1

- zkopírovat UUID a řpidat ho do fstab s tím kam chci aby se připojoval

- je dobré zakazovat file system check (fschck) a dělat ho při námi zvolených příležitostech (když vím že server nebude zatížený)

 

KONFIGURACE LVM

- pokud používám jedno z odvozených úložišť, musím ještě vložit jeden krok

- front end to the device mapper to easily manage logical storage

- možnost vytvořit "online" svazky - svazek jako virtuální disk se mohl za běhu zvětšovat a zmenšovat

- "pool" místa, různým komponentám šlo pak zvětšovat z poolu místo, a také za běhu zvětšovat pool (fyzickým připojením dalšího disku)

- velmi závislé na metadatech

 

- fyzický disk musíme zformátovat aby mohl pracovat s LVM

- několik disků svážeme do skupiny - "poolu"

- na tomto poolu vytvoříme pak logické oddíly

 

tedy:

- vrstva 1 - Physical Volume

- vrstva 2 - Volume Group

- vrstva 3 - Logical Volume

 

- metadata se cachují pomocí lvm2-lvmetad.service

- disky se monitorují pomocí lvm2-monitor.service

 

RAID

RAID 0 -disky jsou poolované

RAID 1 - mirroring

RAID 5 - data jsou distribuovaná napříč disky

RAID x - jsou ještě další, nestihl jsem je zapsat

 

- zobrazení - cat /proc/mdstat

- v /etc/sysconfig/mdadm - lze nastavit zasílání MDADM_MAIL na konkrétní mailovou adresu

systemctl start mdadm?? - musíme zapnout tuto službu

 

BTRFS

- Btrfs: The "Better" File System

- vestavěná správa svazků, vestavěný copy on write, umí podsvazky (můžeme připojit jen podsvazek, stejně tak i zálohovat poze podsvazek)

- dobrá možnost snapshotování, SUSE z nich umí i bootovat

- vestavěná možnost kontroly integrity dat, i komprese

- správa: #btrfs nebo YaST

- btrfs sám neví kolik má volného místa (kvůli copy on write) - má pouze odhady

 

NFS

- network file system

- vyexportujeme nějaké adresáře na serveru, na klientovi si ho připojím a odkudkoliv se na síti připojím, dostanu se do něj

- NFS je služba RPC (remote procedure call)

- nyní NFSv4 - umí paralelní přenosy, zabezpečené pomocí kerberos, lze šifrovat jak přihlašování, tak interakce, tak i přenos dat po síti, využívá pouze TCP, pouze 1 port:2049

- single NFS daemon (nfsd);

- lze propojit uživatele z jiných systémů (mapování uživatelů (stringy, ne UID))

- seznam exportovaných souborových systémů /etc/exports

- syntax: /shared/directory host(option1,option2) tedy například: /export/data server1(rw,sync)

- /etc/sysconfig/nfs - můžeme nastavit použití více vláken CPU, defaultně jsou dost omezená, dobré měnit

- NFS je defaultně součástí jádra ale musíme ho doinstalovat

- pro zobrazení jestli máme správně nastavené to, co je vyexportované /var/lib/nfs/etab

- musíme ho povolit ve firewallu

 

- lze nastavit i v GUID YaSTu

 

- u klienta můžeme přidat jednorázově (přes mount) nebo napořád, editací /etc/fstab

 

ADMINISTRATION AND MONITORING

čas:

- dříve ntpd

- nyní chronyd

 

- synchronizace času:

- pomocí NTP (UDP:123), klient lze použít zároveň jako server; stratum dnes v extrémních případech max do stratum 3

- jednorázová # netdate

- souvislá # chronyd - konfigurae v /etc/chronyd - můžeme přidat specifický NTP server nebo pool serverů

 

logování:

- syslog daemon pro SLES: rsyslogd

- konfigurační soubor je v /etc/rsyslog.conf; hlavní konfigurační soubor /etc/sysconfig/syslog - konfigurace toho jak systém službu využívá

- v konfiguraci - facility.priority -debug, info, notice, warn, error, crit, alert, emerg - standardizováno

- můžeme zobrazit zde:

- /var/log/messages

- /var/log/audit/audit.log

- /var/log/firewall

 

supportconfig:

- sesbírá 95% potřebných informací, vloží je jako soubory do složky

- v plaintextu zobrazí vše o systému

- validace RPM databáze

- service status

- konfigurační soubory

- etc

 

- po spuštění sesbírá data, uloží je defaultně do /var/log/nazevzarizeniatd

- routová tabulka internetu je dnes cca 920 000

- segment routing?

PIMv2? MLDP?

- traffic engineering není možný na distance vector směrovacích protokolech

- cisco modeling labs - training

xconnect

l2 vpn - vpls

e vpn

 

 

 

Breakout UI - lab

gnsko

eve

 

(zajímavé programy to try: KDiff3, 3CDaemon, LAN messenger, Unbrowse SNMP, Fiddler 4, Tera Term, Tftpd64, WinSCP, mRemoveNG,

UltraVNC Server, CM, NTP Time Server, VNC Viewer, UltraVNC Viewer, HTTTrack website copier, Advanced IP address Calculator,

Nmap - Zenmap GUI, UltraVNC Launcher, Cisco AnyConnect, Cisco Configuration Professional, UltraVNC Repeater)

 

na yt videa - MPLS, VPN over MPLS, jak souvisí s BGP, co je to route distinguisher

*****

10.8.16.61

*****

 

######################################################################################################################################################################################################

 

MPLS - multiprotocol label switching

- chceme nahradit klasické směrování pomocí štítků (labelů), které obsahují informace o cestě

- MPLS infrastruktura neslouží jen pro IP sítě, dokáže obsloužit ATM, Frame Relay

- forwarduje velké množství paketů na základě labelů, pakety jsou switchované, ne routované

- pro přidělování labelů - protokol LDP (label distribution protocol), dříve také TDP (tag distribution protocol)

- destination-based unicast bez použití IP směrování

 

- tradiční router vybalí paket z rámce, dělá směrování atd - zdlouhavé, MPLS se dívá na label který je k paketu přidáván

 

- varianta QoS pro MPLS je CoS - až 8 tříd (3 bit v headeru)

- traffic control

 

Základní komponenty:

LSR - Label switching router - swapuje labely, každý 1 hop dojde ke změně labelu

LER - label edge router - provádí zapouzdření, berou si příchozí IP pakety a předávají je do sítě; provádí i opak, odstranění labelu při výstupu paketu z MPLS sítě

 

CE - Customer edge - router na straně u zákazníka, neví že je součástí MPLS sítě, jen předává data od zákazníka dál

Ingress LSR - vstupné router - přebírá traffic do MPLS, přidělí label

Transit LSR - jen přebírají traffic a předávají ho dál

Egress LSR - výstupní router 

 

FEC - Forwarding Equivalent Class - něco, čemu se bude přidělovat label (nějaký subnet)

LIB - Label Information Base - databáze všech labelů, lokálně alokovaných a naučených od LDP peerů

LFIB - Label Forward Information Base - podmnožina LIB, obsahuje informace o specifických cestách

FIB - Forwarding Information Base

 

P - provider - full MPLS router

PE - provider edge - zde začíná a končí MPLS

CE - customer edge - IP směrování

 

 

ARCHITEKTURA

- základ je router information base

 

Control plane - kouká se do směrovací tabulky a podle toho volí label, předávají si informace (LDP)

Data plane - přidělování a měnění labelů

 

- v MPLS síti musí běžet IGP - link state směrovací protokol, nejčastěji se volí OSPF nebo IS-IS; routery si pomocí něj informace o cestách

- dále musí běžet LDP

 

- na data plane jsou pakety odbavovány pomocí štítků na základě control plane

 

- pokud nějaký výpadek, je síť schopná směrovat normálně dle paketů

 

MPLS ACTIONS

- na cisco routerech se používá tzv packet-mode

- IP routing protokoly vytvoří IP routovací tabulku > každý LSR přidělí vlastní labely pro každou FEC > pak si s ostatními routery porovnávají informace

 

- Penultimate Hop Popping - při forwardování labelů ze sítě pryč, upstream router popne label pryč z paketu - příznak "implicit-null"

 

MPLS LABEL

- mezi frame headerem a IP headerem

- 32bit pole - label, experimental, bottom-of-stack, TTL

 

- sousední routery (label distribution peers) si vyměňují informace o labelech přes TCP - 646 - defaultně TCP port na kterém funguje LDP

- LDP - RFC3035, 3036, 3037

 

- label space - platform wide

- interface specific

 

LDP

- messages:

- Discovery messages

- Session messages

 

povinné:

- pro traffic engineering - vrstvení labelů (lable stacking)

- CEF je mandatorní (Cisco express forwarding)

- aktivace MPLS pro IPv4

- aktivace LDP

 

volitelné:

- MTU

 

KONFIGURACE LDP (dva OS, IOS a XR - XR oproti IOSu nepotřebuje restart, příkazy zadávám postupně a vykonají se až když zadám příkaz "commit")

- přepnu se na interface, musím konfigurovat interfaces jednotlivě

# mpls ip //spustí se vyhledávání MPLS partnerů, při nalezení dojde k výměně štítků a rovnou se začíná štítkovat

 

- pro XR:

# mpls ldp

# commit

 

- na straně zákazníka je dobré zablokovat MPLS aby nemohl podvrhovat štítky atd

# ip access-group NoLDP in

# ip access-list NoLDP deny tcp any any eq 646

# ip access-list NoLDP permit ip any any

 

# show mpls interface //zobrazí které if se účastní MPLS

# show mpls ldp discovery

# show mpls ldp parameters //jaké používáme parametry pro ldp (min a max label - rozsah, hold time - jak dlouho držím sousedství, každý keep-alive paket ho prodlužuje)

# show mpls ldp neighbor //ukáže vztahy se sousedy

# show mpls ldp neighbour detail //více detailů

# show mpls ldp bindings //ukáže bindy FEC k labelům

 

# show mpls forwarding-table //základní diagnostický příkaz, vypíše FIB

# show ip cef detail //zobrazí jestli mám danou síť a daný label zavedený 

 

# debug mpls ldp //

# debug pls lfib //

# debug mpls packets [interface] //

// spustí debugovací příkazy, mít na paměti výpočetní výkon jaký to sežere, u zatíženého routeru příkaz "# debug all" router okamžitě shodí

 

# no mpls ip propagate-ttl forwarded

# mpls ldp autoconfig //automatická konfigurace

# mpls mtu <velikost> // konfigurace maximální transfer unit (1512bytes - velikost hlavičky je 12bytes)

 

MPLS/VPN technologies

- MPLS řekneme jen vstupní a výstupní bod - konfigurace je snadná

 

názvosloví:

P-network - provider network

C-network - customer network

VC - virtual circuit

PVC - permanent virtual circuit

SVC - switched virtual circuit

 

2 druhy VPN obecně:

- OVERLAY - vyrobí "virtuální tunel" přes který zákazník vede jakýkoliv provoz

- PEER-to-PEER - převzetí routingu od zákazníka a transport přes MPLS síť do dalších poboček

 

v MPLS

- P routery se nijak zásadně nepodílí

- CE routery používají jen klasický IP routing

- hlavně PE-router

- na vstupu od zákazníka podporuje klasické IP

- na výstupu podporuje labelování

- podporuje VPNky

- mezi PE se přenáší informace o VPN routes pomocí MP-BGP (multiprotocol BGP)

- PE routery spravují globální směrovací tabulku, a další

- na routerech se vytvoří jakoby "virtuální routery" pro každého VPN zákazníka - každý směruje provoz sám

 

- MP-BGP obsahuje - route distinguisher (zajišťuje unikátnost IPv4 adresy), IPv4 adresu, route target, site of origin

 

VRF - Virtual Routing and Forwarding

- přidám route distinguisher

- VRF-lite nepodporuje všechny MPLS-VRF funkcionality, slouží čistě pro oddělení nějakého provozu od sebe

 

# ip vrf <name> //case sensitive

# rd <hodnota_route_distinguisher> //přiřazení route distinguisheru do VRF (ASN:xx a podobně formát)

# route-target export <RT> //pro nastavení bodů zájmu - export

# route-target import <RT> //pro nastavení bodu zájmu - import

# ip vrf forwarding <vrf-name> //přiřazení interface do VRF, v okamžiku kdy tam toto napíšeme, router odstraní IP adresy rozhraní

# show ip vrf 

# show ip vrf interfaces

 

Typické problémy 

- v ruzných VPN na jednom routeru máme od zákazníků stejné subnety, se stejnými směrovacími protokoly

- toto vyřeší "routovací instance" - RIP, EIGRP, BGP//pozn. u externího BGP vždy musíme dát routing-policy

 

# router bgp <AS-number>

# adress-family ipv4 vrf <VRF-name> //slide 266

 

TROUBLESHOOTING

# show ip protocol vrf <VRF-name>

# show ip route vrf <VRF-name>

# show ip bgp vpnv4 vrf <VRF-name>

# show ip bpg vpnv4 vrf <VRF-name> neighbours

# show ip bgp vpnv4 all //ukáže všechny routes

# show ip cef vrf <VRF-name> //ukáže pro dané VRF cef tabulku - jak se bude provádět fast IP switching pro jednotlivé subnety, odchozí interfaces atd

# show ip cef vrf <VRF-name> <prefix> //ukáže jen pro daný prefix

# show mpls forwarding-table

# show mpls forwarding-table vrd <VRF-name> detail

# show ip bgp vpnv4 [ all | rd <rd-value | vrf <VRF-name> ]

# ping crf <VRF-name> <IP-addr>

# trace vrf <VRF-name> <IP-addr>

 

ADVANCED MPLS VPN configuration

- VRF - pomocí route targetu můžeme importovat a exportovat routy - v BGP se tomu vygenerují odpovídající informace, všechny routery se stejnou route target si to načtou

- lze to dělat pomocí "map" jemněji - RTMAP - selektivní načítaní route targets

- stejně tak se dá dělat i selektivní export RTMAP - vyrobíme si nějakou, přidáme kritérium podle kterého bude porovnáváno (subnet)

- je dobré limitovat počet prefixů, které může router dostat od BGP souseda - aby nedošlo k přeplnění paměti 

 

- zákazník chce používat stejné číslo AS na více lokalitách

# neighbour ip-address as-override//dojde k přepsání AS - na přijmovém routeru nedojde k zahození

- zákazník může mít dvě linky které vedou přes nás, je možné že se i přes override druhou linkou vrátí

# neighbour ip-address allowas-in <limit>//vypne hlídání, jestli se vyskytuje moje vlastní AS v AS_path

 

OSPF in MPLS VPN

- když v MPLS síti provozujeme OSPF (podobně is IS-IS)

- PE budou vždy propojené přes BGP - BGP backbone

- OSPF informace se dají přenášet přes BGP pomocí extended communities, cost (OSPF) se přenáší jako MED (BGP)

- stejně tak i RIP se dá přenášet přes BGP (hop count také jako MED)

- sham-linky - "tunel" OSPF přes BGP

 

OVERLAPPING VPNs

- chceme aby např. jedna centrála byla ve více VPNkách

 

- VRF má svou vlastní směrovací tabulku, BGP rozesílá tuto tabulku určeným routerům které mají stejně nakonfigurovaný "route-target import <RD_number>"

 

ROUTE MAPY

- komplexní filtr, specifikujeme pravidla a řekneme, co se má dít když jsou podmínky v pravidle splněny (například se přiřadí AS_path)

# route-map <name> [permit|deny sequence]

# match <podmínka> <podmínka2> //logicky or - podmínka jedna nebo podmínka2 - nejčastěji třeba # match ip address 5; #match metric 100

# match <podmínka3> //logicky and - podmínka a podmínka 3 (v této syntaxi)

- defaultní akcí záznamu je permit

- oddělení route-map pomocí "# continue" - pokud to propadne jedním pravidlem, použije se pravidlo další (nebo specifikované číslem (#continue <číslo routmapy>))

 

INTERNETOVÝ PROVOZ

- lze oddělit na fyzické vrstvě MPLS síť pro zákazníky (VPNky) a internetovou síť

- lze oddělit logicky, jednak pomocí VLAN na CE, druhak pomocí VRF - route leaking - z VRF vede do globální dměrovací tabulku v routeru (tímto ale boříme hranice které jsme si vytvořili VPNkama)

-nejlepší způsob je vytvořit jakoby VPN vedoucí do internetu - provoz pak bude stále oddělený ale přístup do internetu bude ok

 

MPLS OAM

- existují verze ICMP protokolu pro MPLS 

- klasický ping funguje (na IP adresu - icmp echo request, druhá strana ho vyhodnotí a zašle zpět odpověď)

- klasický traceroute (založený na TTL, postupně zvyšujeme pole TTL v záhlaví ICMP paketu, routery které zahazují pakety posílají zpět chybové hlášky a my zapisujeme)

- tyto příkazy fungují i v rámci VRF routovacích tabulek

- můžeme použít ping s příznakem MPLS (# ping mpls ipv4 <ip_address>)

- aby toto fungovalo, musíme mít zapnutou OAM funkci (v MPLS routeru musíme zadat #mpls oam)

- stejně tak můžeme použít traceroute (# traceroute mpls ipv4 <ip_address> verbose)

- můžeme použít multipath traceroute (# traceroute multipath ipv4 <ip_address> verbose) - pro zobrazení veškerých cest v MPLS síti

 

MPLS troubleshooting

- co dělat když MPLS nechodí, nejde připojit VPN zákazník

- chyba control plane/data plane

- kontrola propagace routes

- zda vidíme od začátku cesty k cíli

- kontrola labelování

 

1) je CEF zapnutý? máme IGP (interior gateway protocol) nastavený? máme labely pro dané FEC (forward equivalent class)? neblokuje někdo LDCP provoz

2) kontrolujeme provoz mezi PE a CE; kontrola UP interfaců, ping

3) funguje redistribuce do BGP? fungují extended community? (# show ip bgp vpnv4 vrf <vrf_name> <ip_prefix>) (# show ip bgp vpnv4 univast vrf <vrf_name> <ip_prefix>)

4) přesunují se nám informace mezi PE? (# show ip bgp vpnv4 all <ip_prefix>) //koukáme na routing distinguisher, route target, další komunity (jako OSPF doména), další route targety

5) # show ip route vrf <vrf_name> - vypíše routovací tabulku VRFka; # show ip bgp <ip_address>; # show ip vrf detail 

6) # show ip route - na CEčkách //CEF je mandatorní pro každý box (# show cef interface), # show ip cef vrf <vrf_name> <ip_addr> detail - zobrazí tags imposed: {VPN label} a {LDP label} , kontrola jestli LFIB

7) dál můžeme začít řešit tok dat (jestli se točí counters u labelů (# show mpls forwarding-table)) - vidíme lokální a odchozí tagy, interfaces a next-hop; # show mpls forwarding

 

IPv6 v MPLS

- oproti IPv4 (32bit) má IPv6 128bit adresu, posloupnosti nul se dají zapsat jako ::

# ipv6 unicast-routing

na interfacech

# ipv6 enable

# ipv6 address <address> [eui-64]

# ipv6 unnumbered <interface_id>

# ipv6 address fe80:<ipv6addr>

- link local adresa fe80:addr- adresa která je mandatorní, uvádí se u nich i na jakém interfacu jsou obsažené

- slouží k tomu aby se router stal IPv6 schopným - inzerce sebe a zapojování se do všech multicast skupin

- eui - pokaždé se přiřadí lokální prefix + část adresy vytvořené z MAC adresy - problém soukromí (dá se potenciálně trasovat)

 

- IPv6 over MPLS - více přístupů (IPv6 over L2TPv3; IPv6 over EoMPLS/AToM; IPv6 CE-to-CE IPv6 over IPv4 tunnels; 6PE;

- MPLS vevnitř funguje klasicky pomocí labelů, využívá IPv4 adresy

"tady máme příklad tý síťky"

"to je takovej turbolab na pár minut"

 

 

pozn.:

NDA u ISP (?)

BFD protocol - rychlá reakce na failiures v síti

DMVPN - cisco

útoky na BGP

ctrl + V + ? - vložení otazníku do cisco cli, jinak se spouští nápověda

 

BGP 

- interdomain routing, mezi doménami (autonomními systémy - jeden AS = skupina routerů s jednotnou správou); v současné době je v internetu kolem 50 tisíc AS

- uvnitř AS běží interní směrovací protokol (menší OSPF, větší IS-IS) // IS-IS je stabilnější, použitelný ve větších sítích (ISP)

- BGP tabulka internetu má v současné době kolem 1mil IPv4 routes a 200-300k IPv6 routes

- BGP - advanced path vector směrovací protokol (rozšířený distance vector protocol)

- spolehlivé updaty v síti - díky komunikaci přes TCP (port 179) (nemusím celou routovací tabulku posílat pravidelně); jen na začátku naváže se sousedem TCP session a pošle směrovací tabulku

- posílám pouze změny, ne celou tabulku (triggered updates only), ne periodické

- pro ověření jestli soused žije se posílají "keepalives" které udržují TCP session (každou minutu); po třech neúspěšných je peer prohlášen za "down" (dá se změnit)

- při živé síti - IBGP akumuluje informace o změnách a neposílá je rychleji než jednou za 5s, u EBGP nikdy ne dřív než za 30s

- bohatá metrika - mnoho nastavitelných parametrů (u interních protokolů většinou cena cesty, nebo pár parametrů ze kterých se vypočítá jedno číslo, zpravidla čím menší tím lepší)

 

- scenarios:

- single homed - jednodušší použít statický routing, případně BGP (použijeme privátní číslo AS, privátní IP adresy)

- multihomed - veřejné číslo AS, veřejné IP adresy

- tranzitní AS - přes něj komunikují jiné AS mezi sebou, musí umět přeposílat a vyměňovat updates 

 

- negativa - udržování TCP sessions jsou náročné na CPU a výpočetní výkon, zároveň pomalá konvergence sítě

- nemůžu tolik ovlivnit

 

ATRIBUTY

- 2 skupiny

- well known- musí rozpoznat každá implementace BGP protokolu

- optional- různé implementace BGP protokolu jim navzájem nemusí rozumět; toto ale umožňuje například jiným výrobcům rozšiřovat a přidávat různé atributy;

- pokud router atributu nerozumí, buďto ho zahodí nebo pošle dál

 

- WELL KNOWN

- dvě skupiny - mandatory- vždy tam musí být

- discretionary- nutně nemusí být

 

- mandatory: 

- ORIGIN - řiká jak se route dostala do BGP 

- i - originated in an IGP// 

- e - originated in EGP// redistribuuji routy z jiného externího směrovacího protokolu (např z EGP (předchůdce BGP), v současné době se ale používá pouze BGP)

- ? - redistribuovaná do BGP// redistribuuji routy z jiného interního směrovacího protokolu do BGP (z IS-IS, OSPF), rozdíl oproti "i" - v případě že dostanu 2 routy, router preferuje dle pořadí "i","e","?"

 

- AS-PATH - sekvence čísel AS, kterými routa prošla; umožňuje trasování, kontrola smyčky - každý router provádí check jestli v AS-Path už není jeho číslo AS

- NEXT-HOP - IP adresa next-hop routeru // IP adresa je tu namísto interfaců - BGP nemá asociován odchozí interface; router propaguje dalšímu routeru svojí adresu, aby věděl kudy pak směrovat

 

- discretionary:

- Local preference - používá se pro nastavení směrovací politiky uvnitř námi ovládaného AS, pokud chceme aby směrovací politika byla konzistentní napříč routery; na jednom routeru uvnitř mého AS nastavím hodnotu local-preference a tím ovlivním, kudy budou ostatní routery routovat (nemusím to pak nastavovat na všech jednotlivě)

- Atomic aggregate - říká že routa byla agregovaná (route summary) // např když máme 10 routes, každá má svoje parametry, všechny sumarizujeme do jedné a nastavíme jednotný atribut - atomic aggregate říká že toto se stalo

// if the router has routes 192.168.1.0/24 and 192.168.2.0/24, auto-summary will summarize and advertise the classful network 192.168.0.0/16 - nezahlcuju tolik tabulky propagováním horzně moc podsítí, shrnu to pod jednu síť jakoby

 

 

- OPTIONAL

- transitive - i když mu router sám nerozumí, posílá ho dál (přidává partial bit, který dalšímu routeru značí, že jsem mu nerozuměl) 

- Aggregator - specifikuje IP adresu a číslo AS routeru, který provedl route agregaci

- Community - číslo (může být i více čísel), používá se pro route tagging (např.: tuto routu číslo X mám zakázat, routě číslo Z mám přiřadit nějaký atribut)

 

- nontransitive - pokud atributu router nerozumí, zahodí ho

- MED (multiexit discriminator) - metrika interního směrovacího protokolu; pomáhá určit preferovanou cestu do AS pro návratový traffic (čím nižší číslo, tím lepší cesta); tímto dokážu ovlivnit sousední AS, ale není to úplně zaručené

 

AS-PATH

- když vytvoříme lokální cestu, AS-Path je prázdný

- při cestě do jiného AS přes BGP vkládáme do atributu svoje číslo AS; další AS přidává svoje číslo atd, vzniká v podstatě vektor složený z čísel AS - (4 21 78 652 7) - první byl 7, poslední byl 4

- při rozhodování v routingu se router často dívá na délku této posloupnosti // pozn.: s tím že je v současné době aktivních okolo 50 tisíc AS, průměrná délka AS-Path je kolem 4-5 

- atribut AS-Path slouží zároveň jako prevence smyčky - po obdržení BGP update se router podívá a kontroluje, zda v v AS-Path už není jeho číslo AS, pokud tam je tak routu zahazuje; 

- maximální délka může být až 256 AS // pozn.: v minulosti jeden český ISP přesáhl max délku a shodil tím velkou část internetu - nyní ošetřeno

 

NEXT-HOP

- BGP nemá odchozí interface, tento atribut obsahuje next-hop IP adresu

- nejčastěji je to nastaveno na IP adresu odchozího interface routeru, který paket posílá - router kterému data přijdou pak ví kam má pakety forwardovat, ví kdo a odkud mu něco poslal

- na sdíleném médiu - pokud jsou routery na sdíleném médiu, IP adresa next-hop zůstává stejná aby pak zpětný provoz neběhal po síti dvakrát, pozor na toto v DMVPN

 

BGP Neighbour discovery

- sousedské vztahy musím navázat manuálně na obou stranách (u externího routing protokolu je to žádoucí)

- sousedé se pak pokusí spojit na portu 179 (TCP session)

- BGP open message obsahuje - BGP verze (současně v4), číslo AS lokálního routeru, hold time, BGP router ID, optional parametry

- síť konverguje, vymění se BGP tabulky; pro zrychlení konvergence můžu snížit hold time

- následně se používají BGP keepalives pro držení sousedských vztahů (každých 60s, lze změnit)

 

- zabezpečení BGP komunikace - MD5 TCP hashování, s tím že se hashuje každá TCP segment který se posílá, routery mají sdílený secret (oba dva routery musí být nakonfigurovány se stejným heslem)

 

ROUTE SELECTION CRITERIA

- router propaguje jen cestu vybranou jako best

- výběr best (route selection process) - seřazeno v odrážkách postupně jako posloupnost:

- nejdřív se router dívá jestli je platný next hop, pokud není dosažitelný, routa je ignorována; pokud je cesta validní, je označena "*" (# show ip bgp)

- preferuj vyšší váhu (weight)

- preferuj vyšší lokální preferenci (local preference - atribut který (pokud je vyšší než defaultní 100) stáhne provoz z vnitřní sítě na sebe a pak egress)

- preferuj routu kterou sám originuje (next hop by byl 0.0.0.0 pokud je lokálně)

- preferuj kratší AS-Path (porovnává se délka, kolik čísel AS je v tomto atributu)

- preferuj nižší origin code (IGP (i) > EGP (e) > incomplete (?))

- preferuj nižší MED (multiexit discriminator)

- preferuj externí BGP cesty před interními BGP cestami

- pokud jsou to interní BGP cesty, rozhoduje bližší BGP peer přes interní metriku

- pokud jsou to externí BGP cesty, preferuj starší cestu (více stabilní)

- preferuj cesty s nižším BGP router ID

- preferuj routy pocházející od souseda s nižší IP adresou

 

- na základě tohoto můžeme manipulovat s cestami (např.: změna váhy, lokální preference, změna MED, ... )

- po výběru best routy se tato route zapíše do směrovací tabulky (# show ip route); je tam pouze next-hop adresa a administrativní vzdálenost, ne interface

- čili - next hop > weight > nejnižší local preference > self-originate route > kratší AS-Path > nižší origin code (i,e,?) > nižší MED > lepší EBGP cesty než IBGP > nižší router BGP ID > nižší IP addr

 

ADVERTISING LOCAL NETWORKS

- BGP router si udržuje list lokálních sítí (definováno příkazem # network nebo redistribucí)

- BGP pravidelně skenuje routovací tabulku, když dojde k pádu interface zaznamená změnu, vygeneruje update a pošle ho sousedovi; 

- v případě že se interface nahodí BGP zjistí že je síť nahoře, vygeneruje update a pošle ho sousedovi i s atributy

 - pozor na automatickou sumarizaci cest - pokud mám např.: cesty do sítí 10.0.0.0/28, 10.0.0.4/28, 10.0.0.68/28, router propaguje 10.0.0.0

- lokálně originované routy mají v tomto případě váhu 32768 (dá se změnit, je to tak udělané aby váha přebila ostatní atributy protože sítě jsou přes něj nejlépe dostupné)

 

TTL SECURITY CHECK

- bezpečnostní vlastnost 

- externí BGP je napřímo připojený v sítích mezi routery a má TTL 254, interní BGP nemusí být napřímo a má TTL 255, dostane se dál (??)

- říká, kolik hopů daleko může být BGP neighbour; kontroluje i TTL se kterým paket přijde, útočník typicky neútočí na přímo připojené síti ale z dálky

- security check se podívá na TTL příchozího paketu a podle toho akceptuje/zahazuje

 

MULTIHOMED CUSTOMER PROBLEM

- zákazník má 2 ISP, primární a sekundární

- pokud primární sumarizuje routu k zákazníkovi, může nastat problém - v internetu se směruje podle více specifického záznamu (delšího prefixu)

- toto řešíme tím že k auto summary posíláme i záznam o podsíti (?? nějak to jde udělat, to jsem moc nepochopil)

 

STARTUP PROBLEMS

- BGP neighbor není aktivní // # show ip bgp neighbours - zobrazí stav; soused pravděpodobně není přímo připojený

- BGP session se nesestaví // # debug ip tcp transactions - neighbour not reachable, zobrazí třeba že na TCP SYN paket není zareagováno SYN ACK paketem

// soused nemusí být nakonfigurován, na SYN odpovídá RST - zkontrolovat správnou konfiguraci obou

- BGP session kmitá mezi idle/active // # debug ip tcp transactions; může být např AS number mismatch (peer in wrong AS)

 

TRANSIT AS TASKS

- má za úkol propagovat a forwardovat data mezi různými AS (v tranzitním AS nevzniká žádný provoz)

- pokud přenáším z jednoho konce na druhý konec v AS, nemůžu použít na redistribuci BGP interní směrovací porokol - došlo by ke ztrátě atributů

- používám IBGP - přenese atributy, zachová AS-path; IBGP musí být v tranzitním AS spuštěné na všech routrech které se podílejí na forwardování; musím mít full mesh pro funkci IBGP (jen logicky, ne fyzicky)

- interakce IBGP a EBGP

- při vstupu do AS s IBGP se zaznamená jen číslo AS ze kterého to přišlo; IBGP nemodifikuje AS-path, až při výstupu z tranitního AS toto číslo přidává

- v rámci IBGP se v defaultu nemění atributy (zásahem administrátora to lze udělat)

 

- multipath load sharing - defaultně je load balancing vypnutý, ale lze zapnout

- když mám třeba více cest se stejnou metrikou, můžu je použít (ale musí mít stejnou váhu, local pref, AS-path, origin, MED, interní metriku IGP, rozdílná next-hop adresa)

- split horizon - obecně je split horizon to, že pokud dostanu cestu od souseda, tomu sousedovi neposílám tuto cestu zpět

- u BGP - routu kterou dostanu přes IBGP nepošlu zpátky přes IBGP (prevence smyčky uvnitř jednoho AS)

- pro správnou funkci musím mít full mesh (logickou TPC spojení, ne fyzickou)

- na routerech vytvářím loopbacky a na ně navazuji logický full mesh sousedských vztahů; loopbacky jsou vždy up a interní směrovací protokol se stará o směrování loopbacků uvnitř mojí sítě

- next hop processing - ne odchozích rozhraních je dobré nastavit passive - jen distribuuje a nic nepřijímá

- na routrech IGP - next-hop-self; essential in iBGP, in scenarios where internal routers cannot directly reach the next hop learned from an external BGP neighbor

- každá cesta mezi routery a jeho rozhraními má svojí IP adresu

- pod IBGP musí vždy ještě běžet nějaký interní směrovací protokol

 

EBGP x IBGP - shrnutí

- přes IBGP se nemění žádné atributy

- IBGP je split horizon, routy naučené přes IBGP souseda nejsou propagovány ostatním IBGP peerům

- local preference je propagována jen přes IBGP

- EBGP peers jsou directly connected, IBGP jsou většinou vzdálené

- route selection preferuje EBGP cesty

- nevýhody - tím že musíme udělat full mesh v IBGP, vzniká velké množství TCP relací (u větších providerů)

- duplikovaný provoz routingu

- řešení - route reflectory - mění pravidlo split horizon, route reflector je schopný poslat IBGP routu přes IBGP sousedovi

- nastavíme pár routerů jako route reflectory které vytvoří "cluster" (identifikovaný pomocí cluster ID), ostatní se na ně navážou

- route reflector client (ostatní routery) mají TCP spojení jen k těmto routerům, route reflectory přeposílají updaty všem - daleko menší provoz

- 2 nové atributy - originator ID (odkud update přichází směrem do clusteru), cluster ID (ID clusteru route reflectorů)

// důležité rozlišovat control plane a data plane, vlastní forwarding dat může pak probíhat úplně jinudy, proto route reflectory můžou být ne tak výkonné routery

// tyto routery můžou třeba jen routovat a ne forwardovat

- konfederace

- router pozná zda se jedná o IBGP/EBGP v konfiguraci, pokud má stejný AS jako jeho soused je jasné že se jedná o IBGP

 

 

FORWARDING PACKETS IN A TRANSIT AS

- všechny routery musí znát všechny externí cesty, musíme použít IBGP // # show ip route <IP> - vypíše "known via bgp", napíše i next hop ale ne interface

// # show ip route <next-hop IP> - vypíše přes jaký protokol zná tuto adresu (třeba OSPF), vypíše už i interface

- router se nejprve podívá do BGP tabulky na next hop, pak se podívá přes který interface je tato adresa dostupná, pak se podívá do ARP cache

- odchozí interface není nikdy asociován s BGP tabulkou, z tohoto důvodu musí pod IBGP běžet ještě interní směrovací protokol (IS-IS, OSPF, ...)

- BGP se stará o přenos externích cest, IGP se stará o routování uvnitř sítě 

- CEF (cisco express forwarding) - předpočítává na základě routovací tabulky switchovací cache, lookup se dělá už dřív než přijde paket

 

INTERAKCE BGP A IGP

- ideálně žádná, jediný link by měl být přes rekurzivní lookup

- IBGP přenáší externí routy, v případě výpadku interní cesty by neměl být problém a IBGP se to nedotkne

- v případě výpadnu externí routy se to IGP nedotkne

- lze propagovat nějakou interní síť do BGP (máme třeba nějakou DMZ kde máme server se službou, chci propagovat pouze toto)

- běžně musíme zajistit aby naše interní routy nebyly propagovány do BGP

- default EBGP administrative distance 20, default IGP administrative distance 90-170, default IBGP administrative distance 200

- pokud dojde k naučení IBGP routes přes EBGP, dojde k jejich preferenci - špatný network design/útok; je dobré na vstupu zabezpečit access listem, route mapou etc.

 

COMMON IBGP PROBLEMS

- session nechce nastartovat, nemáme established stav potřebný k vyměňování route

- IBGP session běží mezi loopbacky, ale není nakonfigurován update-source (jako souseda použijeme jeho loopback adresu, zapomeneme dát update-source)

- # debug ip tcp transactions - podíváme se na IP adresy, musí být shodné loopbacky a ne loopback a IP rozhraní

 

- loopback interface není dostupný, typicky se to stane protože loopback není propagován do routovací tabulky

- loopback musí být v interním směrovacím protokolu - musíme se umět pingnout mezi loopbacky

 

- packet filtery brání navázání BGP sessiony

- je potřeba zkontrolovat jestli po cestě není nějaký access list, firewall atd

- # debug ip tcp transactions; # debug ip icmp - zobrazíme jestli TCP SYN pakety nejsou zahazovány

 

- IBGP routy jsou v BGP tabulce, ale nejsou vybrány jako best routy

- BGP next hop není dostupný

- # show ip bgp <prefix> - zkusíme najít next-hop

- # show ip route - zkontrolujeme next-hop 

- typicky spojovačky nejsou zahrnuté v rámci IGP; většinou problém spíše v IGP

 

- IBGP routy jsou vybrány, ale nejsou vložené do routovací tabulky

- BGP synchronizace není vypnutá

- je potřeba ji vypnout, vymazat BGP sessions a znovu se podívat na routovací tabulku (a BGP tabulku)

// synchronizace - legacy problém, od verze IOS je defaultně vypnutá; dříve se dělala redistribuce externích cest do IGP (když byl internet malý), synchronizace řešila předávání informací mezi IGP a IBGP

 

MULTIHOMED BGP

- náročnější zákazníci co potřebují pořád poskytovat služby a mít dobře ošetřenou redundancy

- dualhomed připojení - ke dvěma různým ISP

- potřeba dvojité linky ke každému ISP, na straně každého ISP také ošetřena redundance

- je potřeba veřejné číslo AS 

- je nutné nemít provider-dependent adresy (mít veřejné)

- implementace routing policies

- jeden ISP je primární, druhý backup

  // na routeru nastavím lepší váhu cesty naprimárního; pokud máme více egress routerů použijeme local-preference

- load balancing - když třeba do mezinárodních sítí cheme přes jednoho ISP, do ostatních přes druhého atd

  // ovlivňujeme pomocí AS-Path - chci se do sítí záložního ISP (co má AS třeba 10) dostávat přímo přes něj - routuji podle AS-Path (??)

- je nutnost ovlivňovat výběr cesty

- nastává problém abych se já sám nestal tranzitním AS - musím si dát pozor abych nepropagoval routy ISP1 do ISP2 a naopak

- dá se udělat tak, že posílám pouze lokálně originované routy (posílám jen ty, které mají prázdné AS-path); toto by mělo být ošetřeno i na straně ISP

 

BGP FILTERS

- inbound

- route map

- filter list, AS-path access list, or IP policy

- IP prefix list

- distribute list

- outbound - stejné ale opačné pořadí

 

AS PATH FILTERS

- BGP se nejčastěji používá se spojení s nějakou routovací politikou; 

- AS Path access-listy používají regulární výrazy // # ip as-path access-list <number> permit <string>

- AS-path je konvergovaná do stringu (ne čísla); pokud se můj substring (třeba 31) shoduje s čímkoliv ve stringu (2 7 31 59 317), aplikuje se pravidlo

- v regulárních výrazech se zde dá použít i or (4|8); [1234] nebo [1-4]; [1-2].[7-8] - tečka je zde jako "cokoliv"; ^ - matches beginning of string; $ - matches end of string; _ - matches any delimiter

- match na konkrétní AS tedy udělám regulárním výrazem "_31_"; match posloupnosti - ("213|218")_31 to bude (213 nebo 218) a 31

- konfederace bude v AS path označena zárovkami ^\(213_

- repeating operators * - zero or more atoms; ? - zero or one atom; + - one or more atoms

 

- _100_ - někde v AS-Path je 100

- ^100$ - directly connected to AS 100

- _100$ - originated in AS 100

- ^100_. - networks behind AS 100;

- ^[0-9]+$ - AS paths one AS long

- ([0-9]+)(\1)*$ - prepending perforemd in the eighboring originating AS

- ^$ - networks that originate in the local AS (říká že AS path je prázdná)

- .* - matches everything

 

PREFIX LISTS VS IP ACCESS LISTS

- tradiční prefix filtery byly implementovány s IP access listy konfigurovány přes příkaz distribute-list

- IP access listy používané jako route filtry mají mnoho nevýhod

- lepší je používat prefix listy - podobně jako access listy mají řádky které jdou přidávat/odebírat

- slouží jako match a následuje akce (permit/deny)

- # ip prefix-list <name> {permit|deny} <network/len> [ge valute] [le value]

- prefix listy mají jména a sequence numbers

- ge - great or equal; le - less or equal; bez těchto parametrů musí být exact match;

// kdybych měl # ip prefix-list MyList permit 192.168.0.0/16 le 20, matchne mi to i sítě s maskami do /20

- často se používají "zástupné prefix listy" na specifikování obecných pravidel;

- ip prefix list D permit 0.0.0.0/0// defaultní cesta

- ip prefix list A permit 0.0.0.0/0 ge 32// 

- ip prefix list C permit 0.0.0.0/0 le 32// je jedno co tam je a jak je to dlouhé, v podstatě všechno

- ip prefix list B permit 128.0.0.0/2 ge 17// nějaký subnet z Bčkové třídy

- order of operation - nejprve filter-list a potom prefix-list na vstupu, opačně na výstupu (vrstvy jako cibule); tolik na tom nezáleží (filtry dělají logický AND)

 

ROUTE MAPS

- komplexní access listy

- access listy mají záznamy, route mapy mají statementy

- access listy používají adresy a masky, route mapy přiřazují podmínky

- každá route mapa má jméno a sequence number, podle kterého postupně jsou routemapy aplikovány

 

# route-map <name> {permit|deny} [sequence]

match <condition>

match <condition>

set <parameter>

 

- defaultní stav je permit, routa která nebude matchnutá žádným statementem bude dropnnutá

- "permit all" uděláme tak že specifikujeme "permit" bez "match" pdomínky

- podmínky jsou spojeny logickým AND

- matchovat můžu - síť, toho kdo mi to poslal, next-hop adresu, BGP origin, tag, AS-path, komunitu, IGP route type

- použití v BGP je jedno z mnoha use cases route map, v IOSu lze použít na dalších spoustu věcí

- byly přidány i policy listy, kde si můžu udělat seznam podmínek a pak ho použít, abych to nemusel pořád psát dokola

- # continue [seq_number] - tímto můžu po konci routemapy určit kterou routemapou budu pokračovat

 

INFLUENCING ROUTE SELECTION

- měníme parametry, třeba weight (missnul jsem lab kvůli hádání se s Editou takže netuším vůbec nic)

- local preference

- pozn.: při konfiguraci local preference s route mapami dávat pozor že to funguje jako prefix listy (?), na konci je deny all když nedojde k matchnutí, musíme tam dát permit

- AS path prepending - rozšířím AS path o několik stejných čísel (mého AS), tím bude cesta delší a bude preferována jiná; kdybych tam dal AS protějšího routeru tak loop prevention zabrání jakýkoliv provoz

- jelikož v historii jeden ISP shodil půlku internetu tím, že nastavil AS path větší než 256 čísel a to shodilo spoustu routerů, je toto už ošetřeno a nedoporučuje se víc než 15-20

- obvykle stačí přidat třeba 3, pak se vždycky podívám jestli ještě teče nějaký traffic a podle toho postupuji dál

- MED (multiexit discriminator) - čím méně diskriminujeme, tím spíše se linka pro návratový provoz použije; by default se na cesty které přijdou z ostatních AS ignoruje

- defaultně je 0; pokud mám dvě linky tak je dobré nastavit hodnoty na obou; čím větší číslo tím více cestu diskriminujeme

- MED se šíří jen do sousedního AS, nikdy ne až dál - určuje kudy do našeho AS půjde provoz

- můžu ho nastavit napřímo, lepší je použít route-mapu

 

BGP COMMUNITIES

- optional transitive atribut, když mu router nerozumí tak to označí a pošle dál

- je to v podstatě "nálepka", kterou si k routě přidám (v MPLS L3 VPN se toto používá hodně)

- 3 typy - 32 bit (standardní), 64 bit (extended), 12 byte (large); důsledek toho že začaly docházet IPv4 adresy ale i čísla AS

- můžeme použít jakékoliv číslo (32bit), některá čísla jsou vyhrazena pro specifické komunity a už něco znamenají

- no-advertise- když dostanu routu co má tuto komunitu, neposílám jí dál

- no-export- když dostanu routu co má tuto komunitu, neřeknu ji reálnému sousedovi

- local-as- když mám jen jedno AS tak to neřeknu těm ostatním

- internet- této komunitě vyhoví každá routa

- v kódu BGP jsou tyto komunity určené a všichni jim rozumí (kdyby se náhodou našel někdo kdo tomu nerozumí, stejně posílá dál protože je tento atribut transitive)

 

BGP KONVERGENCE

- čas konvergence roste s rostoucí tabulkou 

- internet v současné době obsahuje více než 300k prefixů

- konvergence sítě má rozsah 10 min - 1h

- BGP procesy:

- BGP open - dělá peer establishment

- BGP I/O- zabezpečuje queuing a processing BGP paketů (updaty a keepalive)

- BGP scanner- prochází BGP tabulku a potvrzuje dosažitelnost next-hopů; agregace se dělá na základě scanneru

- BGP router- vypočítává best path, obsluhuje route changes a peery

// router a scanner procesy zodpovídají za hodně kalkulací a mohou být příčinou vysokého vytížení CPU

// kdybych vyčítal vytížení CPU, díky BGP scanneru může být každou minutu CPU spike až na 100%

- pro lepší konvergenci:

- queue to TCP peers - # hold-queue <length> in// default je 75 packetů; best practice je nastavit třeba na 1000; tím předejdu dropu TCP ACK paketů

- BGP peer groups 

- povolit path MTU - automaticky zvolí největší možné MTU kdy ještě nedochází k fragmentaci paketů

- BFD - sníží konvergenci tím, že velmi rychle odhalí selhání peera; musíme nakonfigurovat BFD session a "přivázat ho" k BGP

- BGP PIC - sníží konvergenci tím že drží metadata ve FIB a RIB (?)

- BGP route dampening - na základě "flapování" (chování) cesty jí do budoucna můžu nějak ovlivňovat - snížím množství updates v budoucnu

- pokud cesta v předchozím časovém intervalu často padala, přidávám jí tím nějaké body a když je přesáhne tak ji třeba na nějakou dobu úplně zakážu - tím zmenším počet updates

 

 

 

 

 

############################################################################################################################################################################################################

########################################################################################## PŘÍKAZY #########################################################################################################

############################################################################################################################################################################################################

 

MONITORING

# show ip bgp summary // vypíše stav BGP na routeru (a neighbours); 

// State/PfxRcd - pokud není ve stavu Idle tak běží, prefix recieved označuje kolik route jsem od souseda obdržel

// TblVer - verze tabulky; InQ a OutQ - vstupní a výstupní queue (pakety na zpracování)

# show ip bgp neighbors // zobrazí info o sousedech

# show ip bgp neighbors <IP> // zobrazí info o sousedovi; je zde i informace zda je soused IBGP (internal link) nebo EBGP (external link)

# show ip bgp neighbors <IP> advertised-routes // zobrazí info o advertised cestách konkrétnímu sousedovi

# show ip bgp // zobrazí BGP tabulku:

// * - platná BGP route, > - best; jen tu vybranou jako "best" router propaguje dál

// - network, next hop, metric (MED), 

// local preference (bez hodnoty - defaultní (100) se nezobrazuje), 

// weight (cisco proprietary, neposílá se ani nepřijímá, je lokální (defaultně 0), 

// AS-Path (+origin codes (i,e,?))

# show ip bgp <route_IP> // vypíše routu a zároveň všechny BGP atributy

# show ip route // zobrazí routovací tabulku

# show ip protocols // zobrazí info o nakonfigurovaných protokolech

 

# debug ip routing // nebo # debug ip bgp updates; pro sledování 

# debug ip tcp transactions // monitoring sestavení BGP session

# debug ip bgp

# debug ip bgp events // stavy BGP

# debug ip bgp updates // monitorujeme co BGP obdrží/posílá; nevidíme ale všechny atributy; na tento příkaz pozor, na internetovém routeru kde je záznamů kolem 1mil nám tím shoří router

// používat třeba s access listem nebo specifikovat adresy/sousedy kteří nás zajímají

# debug ip bgp keepalives // monitoring keepalives

 

KONFIGURACE

# router BGP <AS_number> // spustí instanci BGP s daným číslem AS (číslo AS získáváme od ISP, nebo si zažádáme od RIPE)

// čísla jsou od 1 do 4 294 967 294; dříve byly 1 - 64 512

// je povolen pouze 1 BGP proces na 1 router

// BGP process si automaticky vezme z loopbacku router ID a IP adresu

# neighbor <IP-address> remote-as <AS> // přidám IP adresu souseda a jeho AS

# neighbor <IP-address> description <description> // přidám popisek

# remote-as <neighbor-AS> // toto musíme udělat na obou stranách

# neighbor <IP-address> shutdown // administrativně shodím souseda abych mohl konfigurovat další atributy

 

# auto-summary // zapne nebo vypne sumarizaci před zapsáním cesty do BGP routing table

# network <major-network-number> route-map <route-map-name> // přidám routu + route mapu, pomocí které můžu nastavit atributy cesty a tímto je k tomu přiřadím

// při redistribuci je vhodné (nutné) použít filtr, aby se nepropagovalo úplně všechno ven

 

KONFIGURACE BGP NETWORK

# router BGP <AS-number> // vstup do konfigurace BGP

# neighbor <IP-addr> remote-as <AS-number> // přes # show ip interface brief se podívám na jakých IP mi běží interfaces, u souseda to vždycky nastavím jako IP souseda s číslem AS

 

# timers bgp <keepalive> <holdtime> // (defaultně - keepalive 60s (TCP session), holdtime 180s (držení routy v tabulce))

# neighbor <IP-addr> timers bgp <keepalive> <holdtime> // změní timery pro specifického souseda

# neighbor <IP-addr> password <password> // povolení MD5 autentizace, musí být na sousedních routrech stejný password

 

# clear ip bgp * // clear všech BGP sessions a načtení znovu

# access-list 1 permit <IP> <wildcard> // vytvoření access listu, abych mohl kontrolovat jaké routy budu distribuovat dál

# router bgp 1

# distribute-list 1 out connected // připojím svůj access list k odchozím redistribucím BGP 

 

# router bgp 1

# neighbor <IP-addr> ttl-security hops <number> // TTL security check; při např.: number 10 - router will start sending BGP packets with TTL 255 and will accept BGP packets with 245 or more

// check přes # show ip bgp neighbor <IP-addr> | include TTL

 

# router bgp <AS>

# network <IP sítě> mask <mask> // bude propagovat tuto síť; pak zadám negihbor vztahy a oni si to automaticky začnou propagovat

# aggregate-address 10.1.0.0 255.255.0.0 summary-only // pokud mám na routeru podsítě 10.1.x.x, budou agregovány a propagovány jako tato adresa; summary-only znamená že router bude propagovat pouze sumarizovanou route, ne subnety

 

IBGP

# neighbor <ip> remote-as <AS>

# neighbor <ip> update-source <Loopback 1> // volba update source (na obou koncích musí být na loopback, viz poznámky IBGP)

# neighbor <ip> next-hop-self // nastavuju na routeru pro IP IBGP neigbours, aby věděli že přeze mě se přistupuje do EBGP sítě

 

# route-map toISP1 permit 10 // vytvoření routemapy "toISP"

# match interface Ethernet 0/0 // přiřazení routemapy na interface

# exit

# router ospf 1

# redistribute connected subnets route-map toISP1 //redistribuce do OSPF (IGP)

 

ADMINISTRATIVE DITANCE

# show ip protocols // zobrazí běžící protokoly

# distance bgp 100 190 200 // pořadí external, internal, local

// pro zapsání změny musím refreshnout - # clear ip bgp *; pak chvíli počkat než si znovu načte cesty

// kontrola # show ip route

 

MED

# default-metric <number> // jeden způsob jak nastavit MED

# route-map <name> permit <sequence> // druhý způsob nastavení MED přes vytvoření route-mapy

# match <condition>

# set metric <value> // nastavení MED

 

KOMUNITY

# ip bgp-community new-format // pokud nezapnu, čísla komunit vypadají 43131235; po zapnutí 100:35 třeba

 

 

AS PATH FILTRY

# show ip as-path-access-list <filter-list> // zobrazí nakonfigurované access listy

show ip bgp regexp <regexp> // zobrazí routy v BGP tabluce shodné s regulárním výrazem v jednom nebo ve všech filter listech (nejen AS-Path filtru)

show ip bgp filter-list <access list nuber> // zobrazí všechny routy v BGP tabulce který specifikovaný AS path access list povoluje

 

# ip as-path access-list <number> {permit|deny} <regexp> // # ip as-path access-list permit ^$ - abych se nestal tranzitním AS - mají nastaveno téměř všichni zákazníci

# neighbor <IP> filter-list <cislo_ACL> {in | out}

 

PREFIX LISTY a ROUTE MAPY

 

# ip prefix-list <name> {permit|deny} <network/len> [ge valute] [le value]

- pak přiřadím k sousedovi (??)

# show ip prefix-list [detail|summary] <name> // zobrazí daný prefix list

# show ip bgp prefix-list <name> // 

 

# show route-map // zobrazí nakonfigurované route mapy

# continue [seq_number]

 

 

 

 

- dotazy - co když agregaci dělá tedy více routerů a agreguje takhle subnety že z toho vyjde výsledně stejná propagace