Προχωρημένα Θέματα Δικτύων Πρόγραμμα Μεταπτυχιακών Σπουδών Τμήμα Πληροφορικής ΑΠΘ Μάθημα: 7 – Υψηλή Διαθεσιμότητα Δικτύων

Μέχρι τώρα... Α. Ασφάλεια Δικτύων Virtual LANs (segmenting φυσικού δικτύου σε πολλά λογικά χωρίς δυνατότητα επικοινωνίας μεταξύ τους) Δικτυακοί ιοί: Προβλήματα, Τρόποι Μόλυνσης, Ανίχνευση ιών, Ανίχνευση ίχνους (trace) μολυσμένης IP στη δικτυακή ιεραρχία, Απομόνωση Μολυσμένων (Quarantines) VPNs (Virtual Private Networks): Ασφαλής Διασύνδεση Υποκαταστημάτων πάνω από ανασφαλές κανάλι, Τοπικά Δίκτυα φυσικώς απομακρυσμένα Κρυπτογραφία: Συμμετρική, Ασύμμετρη (Public-Private Key Cryptography) για διασφάλιση δικτυακών πρωτοκόλλων ανωτέρων επιπέδων. Ψηφιακά Πιστοποιητικά, Ασφαλή πρωτόκολλα εφαρμογών με SSL/TLS. Διασφάλιση DNS με DNSSEC. Διασφάλιση επικοινωνιών στο IP layer: IPsec Ασφαλής Διαμοιρασμός Αρχείων με SSHFS και Block Devices με iSCSI Ασφαλές Tunneling Ανασφαλών Πρωτοκόλλων με SSH, SOCKS proxies

Υψηλή Διαθεσιμότητα Δικτύων Layer 1 (πχ. οπτικά links) → Πολλαπλές οπτικές διαδρομές, ή διαδρομές χαλκού → Σε περίπτωση διακοπής μιας ενεργής διαδρομής, αποκαθιστούμε τη σύνδεση συνδέοντας στα άκρα του κυκλώματος την εφεδρική διαδρομή → Απαιτεί παρέμβαση του διαχειριστή δικτύου! Κτίριο Α Ενεργή διαδρομή Κτίριο Γ Κτίριο Β Ενεργή διαδρομή Εφεδρική διαδρομή Εφεδρική διαδρομή

Υψηλή Διαθεσιμότητα Δικτύων Layer 1 (πχ. οπτικά links) Wavelength Division Multiplexing (WDM) Protection Ring Ο οπτικός δακτύλιος προστατεύεται από διακοπές ΔΕΝ απαιτεί (άμεση) παρέμβαση του διαχειριστή δικτύου!

Υψηλή Διαθεσιμότητα Δικτύων Layer 1 (πχ. οπτικά links) Αναλυτική Τοπολογία Προστατευτικού WDM δακτυλίου Π.χ. Μητροπολιτικό Δίκτυο ΕΔΕΤ Οπτικοί Πολυπλέκτες Οπτικές Ίνες Α.Π.Θ. Τ.Ε.Ι. Σίνδου WDM Ring WDM Ring

Υψηλή Διαθεσιμότητα Δικτύων Layer 2 (πχ. Ethernet) Aποτυχία: Διακοπή λειτουργίας μεταγωγέα (switch) ή οπτικής ίνας → Πολλαπλές συνδέσεις μεταξύ μεταγωγέων → To spanning tree protocol (STP) αυτόματα φροντίζει να μην γίνουν loops → Η μεταγωγή του κυκλώματος γίνεται αυτόματα από το STP σε περίπτωση αποτυχίας κάποιου switch ή διακοπής ίνας! Βλάβη! STP Enabled Link STP Disabled Link STP Enabled Link STP Disabled Link Αποκατάσταση Συνδέσεων! STP Disabled Link

Υψηλή Διαθεσιμότητα Δικτύων Layer 2 (Ethernet) STP enabled link STP disabled link Aποτυχία: Διακοπή οπτικής ίνας CASE STUDY: Δίκτυο Α.Π.Θ. → Αυτόματη μεταγωγή κυκλώματος Active link κομμένη ίνα

Υψηλή Διαθεσιμότητα Δικτύων Layer 2 (Ethernet) Spanning Tree Protocol H ανάγκη για redundancy στο δίκτυο οδηγεί στην προσθήκη έξτρα εξοπλισμού και καλωδίωσης Πρέπει όμως το design να συμφωνεί και με τις ιδιαιτερότητες των πρωτοκόλλων που χρησιμοποιούνται. Στο Ethernet δεν υπάρχει TTL. Άρα ένα broadcast πακέτο θα διασχίζει για πάντα την τοπολογία μας εάν κάπου υπάρχει κυκλική διαδρομή όπως στην προηγούμενη διαφάνεια. Εάν προστεθούν κι άλλα broadcast πακέτα σε αυτή την ατέρμονη κίνηση τότε σύντομα καταναλώνεται όλο το διαθέσιμο bandwidth, και η κανονική κίνηση αδυνατεί να φτάσει στον προορισμό της. Αυτό το φαινόμενο λέγεται broadcast storm. Άλλο πρόβλημα με τα loops όπως λέγονται οι κυκλικές διαδρομές, είναι τα διπλά unicast πακέτα. Στο παρακάτω σχήμα φαίνεται μια κυκλική διαδρομή όπου το PC1 στέλνει ένα απλό unicast πακέτο στο PC4. To S2 switch δεν ξέρει πίσω από ποιο port του βρίσκεται το PC4 οπότε στέλνει το πακέτο προς όλα τα interface του. Άρα στο PC4 το πακέτο θα φτάσει μια φορά από το S1 και μια από το S3 switch. Άρα χρειάζεται ένα πρωτόκολλο να μπορεί αυτόματα να αποκλείσει τις κυκλικές διαδρομές στο δίκτυό μας → Spanning Tree Protocol

Υψηλή Διαθεσιμότητα Δικτύων Layer 2 (Ethernet) Spanning Tree Protocol – 802.1D To STP φροντίζει ώστε να υπάρχει πάντα ένα μοναδικό λογικό μονοπάτι που να ενώνει δυο hosts/switch πάνω στο δίκτυο Τις υπόλοιπες διαδρομές τις κρατάει blocked, ενώ είναι έτοιμο σε περίπτωση που κάποιο ενεργό μονοπάτι χαθεί, να ενεργοποιήσει το κατάλληλο από τα blocked Blocked λέγεται μια σύνδεση όταν απορρίπτει όλα τα πακέτα πλην των απαραίτητων για τη λειτουργία του STP (τα BPDU (Bridge Protocol Data Units) πακέτα) Τα BPDU πακέτα περιέχουν το ID του switch που έστειλε το πακέτο, το οποίο αποτελείται από την MAC address του switch, και ένα priority που ορίζεται από τον διαχειριστή Με τα BPDU πακέτα που ανταλλάσουν τα switch μεταξύ τους εκλέγουν ένα switch της τοπολογίας ως 'root bridge' (το κέντρο της τοπολογίας) και κατόπιν κλείνουν τα links που προκαλούν loops με το σκεπτικό ότι τα paths που διατηρούνται είναι τα κατά το δυνατόν βέλτιστα (πλήθος hops, port speeds). Αυτόματα, όταν κατά τη λειτουργία του δικτύου κάποιο link ή switch τεθεί εκτός λειτουργίας, αυτό γίνεται αντιληπτό από τα άλλα switch (λόγω των BPDU που δεν έρχονται από αυτό το switch) και η διαδικασία εκτελείται ξανά ώστε να ανοίξουν οι κατάλληλες συνδέσεις που ήταν blocked.

Υψηλή Διαθεσιμότητα Δικτύων Layer 3 (IP) HSRP – Hot Standby Router Protocol Πρωτόκολλο για να μπορέσει να επιτευχθεί 100% network uptime Σκοπός είναι σε περίπτωση βλάβης ενός δρομολογητή, να αναλάβει διαφανώς άλλος το routing Ενεργοποιούμε HSRP σε μια ομάδα routers (standby group) Οι router πλέον ακούνε όλοι και σε μια έξτρα, κοινή MAC address και μια κοινή IP (πχ. 155.207.113.100) Ένας από τους router (τον ορίζει ο διαχειριστής ή και αυτόματα) είναι ο Active (κάνει στην πραγματικότητα το routing) ενώ οι άλλοι είναι stand-by. Oι router ανταλλάσουν HSRP messages: Όταν ένας router τεθεί εκτός λειτουργίας, τότε ο stand-by καταλαβαίνει ότι έχει χάσει την επικοινωνία με τον Active και γίνεται ο ίδιος Active, οπότε συνεχίζει εκείνος να δρομολογεί την κίνηση των χρηστών Οι χρήστες συνήθως δεν αντιλαμβάνονται την μετάβαση, επειδή απλώς θα χαθούν μερικά πακέτα

Υψηλή Διαθεσιμότητα Δικτύων Layer 3 (IP) Hosts στο 113 subnet HSRP – Hot Standby Router Protocol Hosts άλλων subnets Gateway: 155.207.113.100 (virtual IP) ← HSRP frames → Router A IP Router B IP interface Vlan113 description Bld20 - CSD ip address 155.207.113.101 255.255.255.0 ip broadcast-address 155.207.113.255 standby 113 ip 155.207.113.100 standby 113 priority 110 standby 113 authentication md5 key-string 7 xxx end interface Vlan113 description Bld20 - CSD ip address 155.207.113.102 255.255.255.0 ip broadcast-address 155.207.113.255 standby 113 ip 155.207.113.100 standby 113 authentication md5 key-string 7 xxx end Virtual IP Virtual IP

Υψηλή Διαθεσιμότητα Δικτύων Layers 1, 2, 3 High Availability με HSRP + STP Aggregator Switch Aggregator Switch ← HSRP → STP blocked links Active Router Stand-by Router Aggregator Switch Aggregator Switch Aggregator Switch Internet End Users Building Switch Floor Switch End Users

Υψηλή Διαθεσιμότητα Δικτύων Layers 1, 2, 3 Εργασία HSRP (1/2) Να υλοποιηθεί το παρακάτω σχήμα με τις οδηγίες στην επόμενη διαφάνεια

Υψηλή Διαθεσιμότητα Δικτύων Layers 1, 2, 3 Εργασία HSRP (2/2) Υλοποιήστε το σχήμα της προηγούμενης διαφάνειας στο Packet Tracer Ρυθμίστε: Laptop0 IP → 192.168.1.50/24, Laptop1 → 192.168.2.50/24 Ρυθμίστε HSRP στους δυο routers ώστε και οι δυο να μπορούν να κάνουν τον gateway και στα δυο υποδίκτυα. Default Active να είναι ο Router1. Τώρα πρέπει να μπορούν Laptop0 & Laptop1 να κάνουν ping μεταξύ τους. Παραδοτέο 1: PT αρχείο (όνομα: hsrp.pkt) με το παραπάνω setup Παραδοτέο 2: Καταγραφή με simulator, του τι συμβαίνει όταν σβήσετε τον Router1. Πως αλλάζουν οι διαδρομές των πακέτων λόγω HSRP; Παραδοτέο 3: Καταγραφή με simulator, του τι συμβαίνει όταν κοπεί το link Router1 – Switch1. To ping συνεχίζει να παίζει; Γιατί; Η συμπεριφορά είναι ίδια με το 5; Πως διαφέρει το ping από Laptop0 → Laptop1 με το ping από Laptop1 → Laptop0. Με τη βοήθεια του simulator διαγνώστε και εξηγήστε το πρόβλημα. Παραδοτέο 4: hsrp-full.pkt → Προσθέστε ένα νέο link μεταξύ των δυο routers και προσθέστε κατάλληλο config ώστε να αποκατασταθεί η συνδεσιμότητα των laptops, ολοκληρώνοντας έτσι το HSRP setup ώστε να λειτουργεί για κάθε είδους βλάβη. Παραδοτέο 5: hsrp-adv.pkt → Προσθέστε το κατάλληλο configuration στο HSRP στο αρχικό σχήμα ώστε χωρίς να προστεθεί κάποιο επιπλέον link μεταξύ των δρομολογητών να μπορεί να συνεχίσει η επικοινωνία των laptops ακόμα και όταν κοπεί το link Router1 – Switch1. Hint: Ψάξτε για κάποιο config του HSRP που να βγάζει από active τον router για κάποιο υποδίκτυο όταν πέσει ένα μη άμεσα σχετιζόμενο interface.