Übersicht

Begrüssung / Einführung

Die Elemente eines Netzwerkes

Grundlegende Konzepte
Adressierung
Network Address Translation (NAT)
Was ist eine DMZ?
Port Forwarding

Wer macht was im Heimnetzwerk?
Router/Firewall
Server
Workstation

Fragen?

„Das Netzwerk ist der Computer“

Marc Herren und Markus Wernig

Buchhandlung Jäggi, Bern

Samstag, 8. Mai 2004

Die Elemente eines Netzwerkes

Linux / Unix

Windows

MacOS X

DMZ

WAN

LAN

INTERNET

INTRANET

Dienst

Server

Web / Mail

Server

Daten

Server

Switch / Hub

WLAN

FW / Router

WWW

Grundlegende Konzepte

Adressierung

Jeder Computer hat eine Netzwerk-Adresse, die so genannte IP-Adresse.

Im Internet werden sog. „öffentliche“ IP-Adressen verwendet, im Heimnetz meist sog. „private“. Private Adressen können von aussen nicht direkt erreicht werden, und umgekehrt.

öffentlich

privat

Internet

Grundlegende Konzepte

Network Address Translation (NAT, Masquerading)

Damit private und öffentliche Adressbereiche trotzdem miteinander
„reden“ können, braucht es dazwischen einen „Übersetzer“ (z. B. Router).

Dieses Gerät hat selbst Adressen aus beiden Bereichen. Der ausgehende Datenstrom wird dabei so verändert, dass er von der öffentlichen Adresse des Routers zu kommen scheint.

Internet

Grundlegende Konzepte

Was ist eine DMZ?

Eine DMZ (Demilitarized Zone) ist ein abgetrennter Bereich des internen, privaten Netzes, der jedoch von aussen erreichbar gemacht wird.

Man braucht sie immer dann, wenn man selbst Server betreibt, die im Internet für andere „sichtbar“ sein sollen (z. B. Webserver, Mailserver), diese aber zugleich von den „unsichtbaren“ Geräten (Arbeitsplatz) trennen will.

öffentlich

privat

Internet

Grundlegende Konzepte

Port Forwarding (Static NAT)

Damit die private DMZ von aussen erreichbar wird, muss der Router eingehende Daten an die internen Server weiterschicken.

Der eingehende Datenstrom wird dabei so verändert, dass er statt an die öffentliche Adresse des Routers an die private Adresse des Servers zu gehen scheint.

Internet

Grundlegende Konzepte

Facts

Mit NAT und Port Forwarding kann eine komplette Anbindung ans Internet erreicht werden.

Aus Sicherheitsgründen sollte zusätzlich zum Router eine Firewall eingesetzt werden.

Die Verbindung zum Provider (ISP) kann auf beliebige Arten hergestellt werden (Cable, ADSL-, ISDN-, Analog-Modem)

Wer macht was im Heimnetz?

Router - Firewall

Router und Firewall können auf dem selben Gerät installiert sein, müssen aber nicht. NAT und Port Forwarding werden in jedem Fall von dem Gerät gemacht, das direkt mit dem Internet verbunden ist. Dieses besitzt auch die öffentliche IP-Adresse. Die internen Hosts verwenden in jedem Fall die Firewall als Default Gateway.

Internet

Internet

Wer macht was im Heimnetz?

A) Router und Firewall auf getrennten Geräten

Der Router (ISDN, Cable, ADSL – im Handel erhältlich) stellt die Verbindung zum Internet her. Er hat eine öffentliche und eine private Adresse.

Die Firewall hat zwei oder drei private Adressen und verwendet die private Adresse des Routers als Default Gateway.

öffentlich,

z.B. 61.1.2.3

privat,

192.168.0.254

privat, eth0 =

192.168.0.1

privat, eth1 =

192.168.1.254

privat, eth2 =

192.168.2.254

192.168.2.0/24

192.168.1.0/24

Router und Firewall getrennt

Beispielkonfiguration Firewall (unvollständig!)

ifconfig eth0 192.168.0.1 netmask 255.255.255.0
ifconfig eth1 192.168.1.254 netmask 255.255.255.0
ifconfig eth2 192.168.2.254 netmask 255.255.255.0

route add default gw 192.168.0.254

iptables -A INPUT -j ACCEPT
iptables -A OUTPUT -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -s 192.168.2.0/24 -d ! 192.168.2.0/24 -i eth2 -j ACCEPT
iptables -A FORWARD -s any -d 192.168.2.1 –-dport 80 -j ACCEPT
iptables -A FORWARD -s any -d 192.168.2.2 –-dport 25 -j ACCEPT
iptables -A FORWARD -j DROP
[...]

Das obige Beispiel dient nur der Veranschaulichung. Lesen Sie die Dokumentation/Hilfe des iptables-Kommandos. Funktionierende Konfigurationen finden Sie im Internet, z.B. http://lugbe.ch/lostfound/contrib/router_biel/firewall.phtml.

Internet

Wer macht was im Heimnetz?

B) Router und Firewall zusammen

Die Firewall stellt die Verbindung zum Internet her. Dazu benötigt sie zusätzlich ein Modem (ISDN, ADSL, Cable). Darüber bezieht sie ihre öffentliche Adresse vom ISP. Je nach Verbindungsart geschieht das über PPP, PPPoE oder DHCP.

Sie hat eine öffentliche und eine oder zwei private Adressen.

öffentlich, eth0 =

z.B. 61.1.2.3

privat, eth1 =

192.168.1.254

privat, eth2 =

192.168.2.254

192.168.2.0/24

192.168.1.0/24

Router und Firewall zusammen

Beispielkonfiguration Firewall (sehr unvollständig!)

dhcpcd eth0
ifconfig eth1 192.168.1.254 netmask 255.255.255.0
ifconfig eth2 192.168.2.254 netmask 255.255.255.0

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
[...]
iptables -A FORWARD -s 192.168.2.0/24 -d ! 192.168.2.0/24 -i eth2 -j MASQ
iptables -A PREROUTING -t nat -s ! 192.168.2.0/24 -i eth0 -d 61.1.2.3
–-dport 80 -j DNAT –-to 192.168.2.1:80
iptables -A PREROUTING -t nat -s ! 192.168.2.0/24 -i eth0 -d 61.1.2.3
–-dport 25 -j DNAT –-to 192.168.2.2:25
[...]
iptables -A FORWARD -j DROP
[...]

Auch hier wieder: nur als Wegweiser zu verstehen.
Vgl. http://www.linuxfaq.de/f/cache/419.html.

Wer macht was im Heimnetz?

Benötigte Hardware

1 PC	Es reicht schon ein ausgedienter „486-er“, 64 MB RAM, 500 MB HD

2-3 Netzkarten	Je nach Anzahl privater Netze, Kabel

Modem	vom Provider gestellt (Cable, ADSL) oder eigenes (ISDN)

1-2 Hubs	Zur Verbindung mit den internenen Netzen, je nach Anzahl

Modem

Firewall/

Router

Hub/

Switch

Kabel, RJ45

Netzkarte,

RJ45

Wer macht was im Heimnetz?

Benötigte Software

Linux	Betriebssystem, „Network Packet Filtering“ aktiv

dhcpcd oder pppd	Dynamische Adresszuteilung

iptables	Firewall-Verwaltung

Optional: dhcpd (DHCP-Server), squid (HTTP-Proxy)

dhcpcd,

pppd

iptables, dhcpd, squid

Modem

Firewall/

Router

Weiterführende Informationen

Weiterführende Informationen

http://people.netfilter.org/~rusty/unreliable-guides/ - Umfangreiche Sammlung zum Thema iptables, NAT und Netzwerk

http://www.tldp.org/HOWTO/DSL-HOWTO/ - Linux-Konfiguration für ADSL

http://www.roaringpenguin.com/pppoe/ - PPPoE-Client (pppd) für Linux, mit guter Installationsanleitung

http://www.linuxheadquarters.com/howto/networking/cablemodem.shtml -
Linux-Konfiguration für Cablemodem

http://www.klaus.franken.de/DE-ISDN-HOWTO/html/DE-ISDN-HOWTO.html -
Linux-Konfiguration für ISDN

http://www.lugbe.ch/lostfound/contrib/router_biel/ - Ein Beispiel aus der Praxis
(mit DHCP-Server, Proxy, Firewall und einigem mehr)

http://www.isc.org/index.pl?/sw/dhcp/ - DHCP Client und Server

Daten-Server ( SAMBA / NFS )

Datenverteilung

Ein Datenserver stellt zentral Speicherplatz zur Verfügung, auf den mehrere Clients gleichzeitig zugreifen können.

NFS wird primär verwendet bei Unix/Linux-Clients.

SAMBA wird primär verwendet bei Windows-Clients.

NFS SERVER

SAMBA SERVER

NFS Client

SAMBA Client

NFS / SAMBA Client

Daten-Server: NFS

Kernel 2.6 & 2.4 : File Systems -> Network File System

NFS Server

/etc/exports

# /etc/exports: NFS file systems being exported. See exports(5).

/storage *(rw,sync)

NFS Client

in der Shell

mount -t nfs 192.168.100.100:/storage /mnt/srv_storage

/etc/fstab

192.168.100.100:/storage /mnt/srv_storage nfs noauto,defaults,user 0 0

Daten-Server: SAMBA

Software bei : www.samba.org

Serverdaemon muss gestartet sein ( smbd )

Samba Server

/etc/samba/smb.conf

...

[storage]

comment = storage

path = /storage

public = yes

writable = yes

...

SAMBA Client

Netzwerkumgebung / Netzwerklaufwerk verbinden

SAMBA: SWAT Konfigurationstool

Einfache Konfiguration via Webinterface

http://meinsambaserver:901

Drucken mit CUPS / SAMBA

Druckserver

Durch einen Druckserver können mehrere Clients gleichzeitig auf einen Drucker zugreifen.

CUPS wird benötigt, um den Drucker unter Linux anzusprechen.

SAMBA wird benötigt, um den Drucker unter Windows anzusprechen.

CUPS / SAMBA SERVER

Windows Client

CUPS (Linux) Client

CUPS: Konfigurationstool

Einfache Konfiguration via Webinterface

http://meincupsserver:631

Druckserver mit SAMBA

Samba Server

/etc/samba/smb.conf

...

[global]

printing = cups

printcap name = cups

[printers]

comment = All Printers

path = /var/spool/samba

printer admin = root

guest ok = Yes

printable = Yes

use client driver = Yes

browseable = No

...

Mailserver: MTA

Sendmail / Postfix / Qmail / ...

Ein Mailserver ( Mail Transport Agent ) ist verantwortlich für die Zustellung sowie das Entgegennehmen von Mails im Internet.

Damit ein Mailclient auf die Mails zugreifen kann, muss auf dem Server ein POP/IMAP-Server installiert sein.

Internet

MTA

Internet

MTA und POP/IMAP

Server

Mail Client

Mailserver: POP / IMAP

POP und IMAP Server

Damit ein Mailclient wie z.B. Evolution auf die Maildaten zugreifen kann, muss ein entsprechender Kommunikationspartner auf dem Server installiert sein.

POP:	Die Daten werden lokal ( Client-seitig ) verwaltet

IMAP:	Die Daten werden zentral ( Server-seitig ) verwaltet

Die gängigsten Pakete bieten beide Möglichkeiten an wie z.B. :

Cyrus, Courier, ...

Internet

MTA

Internet

MTA und POP/IMAP

Server

Mail Client

DNS: Namensauflösung

Namensauflösung

Ein DNS ( Domain Name Server ) wird gebraucht, um „Computernamen“ nach
IP-Adressen aufzulösen und umgekehrt.

Die DNS-Struktur ist hierarchisch aufgebaut, insgesamt gibt es 13 Root Server.

meinserver.meinedomain.ch <-> 192.168.100.10

Internet

Internet

DNS Server

Root DNS

Welche ip besitzt meinserver ?

Welche ip besitzt www.search.ch ?

DNS-Server: BIND

Zonefile

$TTL 86400

@ IN SOA meinserver.meinedomain.ch. hostmaster.meinedomain.ch. (

200307001 ; serial, todays date + todays serial #

8H ; refresh, seconds

2H ; retry, seconds

4W ; expire, seconds

1D ) ; minimum, seconds IN NS meinserver

; MX record

@ IN MX 10 meinserver.meinedomain.ch.

meinserver.meinedomain.ch. IN A 61.1.2.3

;aliases

www IN CNAME meinserver.meinedomain.ch.

pop IN CNAME meinserver.meinedomain.ch.

ftp IN CNAME meinserver.meinedomain.ch.

dns IN CNAME meinserver.meinedomain.ch.

mail IN CNAME meinserver.meinedomain.ch.

Webserver: Apache

Webserver

Ein Webserver stellt die nötigen Information einer Webseite zur Verfügung. Gegebenenfalls werden die Seiten mit Hilfe von Plugins (wie z.B. PHP) noch interpretiert und im richtigen Format dargestellt.

Die HTML-Dateien werden auf dem Server im entsprechenden Verzeichnis abgelegt und können sofort mit jedem gängigen WWW-Browser angezeigt werden.

Internet

Internet

Apache Server

WWW Browser

WWW Browser

Links

SAMBA : http://gertranssmb3.berlios.de/output/

CUPS : http://www.cups.org/cups-help.html

Sendmail : http://www.sendmail.org

Postfix : http://www.postfix.org/docs.html

Cyrus : http://asg.web.cmu.edu/cyrus

Courier : http://www.inter7.com/courierimap.html

BIND : http://www.isc.org/index.pl?/sw/bind/

Apache : http://www.apache.org

Workstations

Workstations

Mit der Clientsoftware kann ein Benutzer auf seiner Workstation auf die verschiedensten Dienste in einem Netzwerk zugreifen.

Für jede gewünschte Dienstleistung gibt es eine Auswahl an Clientsoftware; die Wahl des geeigneten Arbeitsprogrammes liegt oft in der Hand des Benutzers / Administrators.

Mail: Evolution

Flexibles Format

POP, IMAP, MS Exchange, u.a.m.

Unterstützung von HTML- sowie Text-Emails

Anzeige von Bildern / Anhang – autom. Erkennung

Automatische Indexierung

Benutzerdefinierte Filterregeln

Ein- und Ausgang

Virtuelle Ordner

Tages-, Wochen- und Monats-Ansicht

Einfache Terminverwaltung, Einladung, Erinnerung

Mail

Kalender

www.ximian.org

Web-Browser

www.mozilla.org

2003-10-12T21:31:49