Προχωρημένα Θέματα Δικτύων Πρόγραμμα Μεταπτυχιακών Σπουδών Τμήμα Πληροφορικής ΑΠΘ Μάθημα 3 – Virtual Private Networks

Ασφάλεια Δικτύων Virtual Private Networks VPN: Μέθοδοι δημιουργίας υποδικτύων μεταξύ κόμβων δικτύων που δεν ανήκουν στα ίδια υποδίκτυα. Χρήσεις: Εγκατάσταση ασφαλούς επικοινωνίας πάνω από ανασφαλές κανάλι (πχ. Internet) Διαμοιρασμός πόρων (disk space, printers) Πρόσβαση σε προστατευμένα υποδίκτυα Απόκρυψη δικτυακής κίνησης Διάφορες τεχνολογίες αναλόγως σκοπού: Διασύνδεση σε layer 2 → IEEE 802.1Q (VLANs), OpenVPN Διασύνδεση σε layer 3 → OpenVPN, MPLS Διασύνδεση σε layer 2 θα πει ότι οι δυο network hosts που συμμετέχουν στο VPN είναι layer 2 γείτονες και μπορούν να μιλήσουν απευθείας μεταξύ τους με layer 2 πρωτόκολλο (πχ. Ethernet) Διασύνδεση σε layer 3 θα πει ότι οι δυο network hosts που συμμετέχουν στο VPN είναι layer 3 γείτονες και μπορούν να μιλήσουν απευθείας (με μεσολάβηση router) μεταξύ τους με layer 3 πρωτόκολλο (πχ. IP)

Ασφάλεια Δικτύων Virtual Private Networks Τι είναι το VPN; VPN 192.168.10.1 Στο ίδιο LAN! 192.168.10.2 Hub LAN 192.168.2.0/24 192.168.2.10 Hub Router 192.168.1.10 LAN 192.168.1.0/24 0101010100101001010101101011111010100001101010101010101010101......................... Encrypted...

Ασφάλεια Δικτύων Virtual Private Networks Πως συμπεριφέρεται ένας υπολογιστής όταν έχει δυο δικτυακές συνδέσεις; 192.168.1.10 Hub Router Α ForthNet 192.168.1.0/24 Hub Router Β 192.168.2.10 OTE 192.168.2.0/24

Ασφάλεια Δικτύων Virtual Private Networks Παράδειγμα: Ο εργαζόμενος στον Λευκό Οίκο, συνδέεται στο κλειστό δίκτυο του Λ.Ο. μέσω VPN από το σπίτι του και μπορεί πλέον να προσπελάσει με ασφάλεια τους πόρους αυτού του δικτύου LAN 192.168.1.0/24 Ανασφαλές!!! Hub Router 192.168.1.10 Internet Router Virtual Private Network Switch 10.0.0.7 192.168.1.20 10.0.0.60 10.0.0.1 10.0.0.6 10.0.0.5 VPN Server Ίδιο LAN!

Ασφάλεια Δικτύων Virtual Private Networks Παράδειγμα: Πρόσβαση σε προστατευμένο δίκτυο του ΑΠΘ από ανασφαλή ADSL σύνδεση σπιτιού Router Firewall LAN 192.168.1.0/24 Ανασφαλές!!! Internet Switch 192.168.1.10 Hub Router VPN Server (155.207.212.10) Virtual Private Network 192.168.1.200 File Server (155.207.212.2) 155.207.212.30 155.207.212.68 A.Π.Θ. Print Server (155.207.212.3) Ακολουθεί το config για το παραπάνω test case

Ασφάλεια Δικτύων Virtual Private Networks Στον υπολογιστή του σπιτιού (πριν το VPN): # ifconfig eth0 Link encap:Ethernet HWaddr 00:22:19:e3:26:1e [ wired Ethernet – ασύνδετο ] UP BROADCAST MULTICAST MTU:1500 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B) Interrupt:17 wlan0 Link encap:Ethernet HWaddr 00:22:5f:6e:cc:63 [ WiFi Ethernet – connected ] inet addr:192.168.1.200 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::222:5fff:fe6e:cc63/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:1307998 errors:0 dropped:0 overruns:0 frame:63008 TX packets:792656 errors:28 dropped:0 overruns:0 carrier:0 RX bytes:1734047345 (1.6 GiB) TX bytes:242329637 (231.1 MiB) O υπολογιστής μας έχει δυο Ethernet interfaces (κάρτες δικτύου) και αυτή τη στιγμή είναι συνδεδεμένος με το Internet με την Wireless κάρτα (wlan0).

Ασφάλεια Δικτύων Virtual Private Networks Στον υπολογιστή του σπιτιού (πριν το VPN): Εύρεση δικτυακής διαδρομής μέχρι έναν host του ΑΠΘ # traceroute 155.207.113.227 traceroute to 155.207.113.227 (155.207.113.227), 30 hops max, 60 byte packets 1 192.168.1.1 (192.168.1.1) 1.955 ms 4.415 ms 6.445 ms 2 80.106.108.43 (80.106.108.43) 40.347 ms 41.730 ms 43.198 ms 3 80.106.229.97 (80.106.229.97) 44.701 ms 46.826 ms 49.120 ms 4 thes-crsa-thes7609a-1.backbone.otenet.net (79.128.228.1) 50.117 ms 52.123 ms 53.125 ms 5 athe-crsa-thes-crsa-2.backbone.otenet.net (79.128.224.133) 64.992 ms 68.406 ms 68.771 ms 6 athe7609k1-athe-crsa-2.backbone.otenet.net (79.128.227.22) 68.893 ms 46.321 ms 46.226 ms 7 grnet.gr-ix.gr (83.212.8.1) 48.747 ms 50.232 ms 52.354 ms 8 koletti1-to-eie2.backbone.grnet.gr (195.251.27.45) 53.872 ms 54.885 ms 56.936 ms 9 clientRouter.auth.koletti-1.access-link.grnet.gr (195.251.25.126) 65.920 ms 67.364 ms 69.334 ms 10 atlantas-bb.ccf.auth.gr (155.207.100.1) 86.319 ms 86.680 ms 87.165 ms 11 postmortem.csd.auth.gr (155.207.113.227) 76.402 ms 77.751 ms 79.233 ms Home Net OTENet GRNet ΑΠΘ Mε την traceroute, βρίσκουμε όλη τη διαδρομή των routers που πρέπει να ακολουθήσει ένα πακέτο μέχρι να φτάσει στον προορισμό του. Εδώ βλέπουμε το πακέτο πως περνάει από το δίκτυο της OTENet και μετά μπαίνει στο δίκτυο του GRNet και τέλος στο δίκτυο του ΑΠΘ.

Ασφάλεια Δικτύων Virtual Private Networks Στον υπολογιστή του σπιτιού (με το VPN): # ifconfig wlan0 Link encap:Ethernet HWaddr 00:22:5f:6e:cc:63 [ WiFi Ethernet - όπως και πριν ] inet addr:192.168.1.200 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::222:5fff:fe6e:cc63/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:1308484 errors:0 dropped:0 overruns:0 frame:63065 TX packets:793067 errors:28 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:1734118052 (1.6 GiB) TX bytes:242396838 (231.1 MiB) Interrupt:17 tap0 Link encap:Ethernet HWaddr 16:ff:d5:9e:8d:91 [ VPN virtual Ethernet interface ] inet addr:155.207.212.68 Bcast:155.207.212.255 Mask:255.255.255.0 inet6 addr: 2001:648:2800:212:14ff:d5ff:fe9e:8d91/64 Scope:Global inet6 addr: fe80::14ff:d5ff:fe9e:8d91/64 Scope:Link RX packets:95 errors:0 dropped:0 overruns:0 frame:0 TX packets:53 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:11308 (11.0 KiB) TX bytes:6675 (6.5 KiB) Mε την ενεργοποίηση του VPN, ένα νέο interface (“κάρτα δικτύου”) προστέθηκε στον υπολογιστή και με αυτό το interface ο υπολογιστής πλέον είναι ισότιμο μέλος του 155.207.212.0/24 υποδικτύου

Ασφάλεια Δικτύων Virtual Private Networks Στον υπολογιστή του σπιτιού (μετά το VPN): Εύρεση δικτυακής διαδρομής μέχρι έναν ΑΠΘ host # traceroute 155.207.113.227 traceroute to 155.207.113.227 (155.207.113.227), 30 hops max, 60 byte packets 1 atlantas-vlan212.ccf.auth.gr (155.207.212.101) 162.619 ms 162.598 ms 162.602 ms 2 postmortem.csd.auth.gr (155.207.113.227) 162.322 ms 162.353 ms 162.364 ms Προστατευμένο δίκτυο 155.207.212.0/24 Δίκτυο Σχολής 155.207.113.0/24 ΑΠΘ Router 155.207.113.227 Local user 155.207.212.40 Πάνω από το VPN! 155.207.212.68 Mε την ενεργοποίηση του VPN, o υπολογιστής ως ισότιμο μέλος του 155.207.212.0/24 υποδικτύου που είναι πλέον, μπορεί να μιλήσει με τον 155.207.113.227 με 1 hop (τον AΠΘ router). Τι γίνεται όμως στο background;

Ασφάλεια Δικτύων Virtual Private Networks Στον υπολογιστή του σπιτιού (μετά το VPN): Ping από τον VPN χρήστη, στον 155.207.113.227 – Τι γίνεται στα layers; # ping 155.207.113.227 PING 155.207.113.227 (155.207.113.227) 56(84) bytes of data. 64 bytes from 155.207.113.227: icmp_req=1 ttl=63 time=0.411 ms Το OS κοιτάει αν το target ΙP (155.207.113.227) είναι στο ίδιο υποδίκτυο (με subnet mask) με κάποια από τις local ΙPs (192.168.1.200/24, 155.207.212.68/24) – Δεν είναι → Άρα θα σταλεί στον default gateway. O gateway που έχει πάρει το OS πάνω από το VPN είναι ο 155.207.212.100. Για να του στείλει το ping, πρέπει να ξέρει την MAC address του. Το OS δημιουργεί ένα broadcast ΑRP request για το 155.207.212.100, το οποίο το παραλαμβάνει το virtual interface του VPN, το tap0. To πακέτο (ARP request (layer 2)) παραλαμβάνεται από το software του OpenVPN, κρυπτογραφείται, γίνεται encapsulate σε ένα πακέτο με source την IP του wlan0 (192.168.1.200) και destination τον VPN server και αποστέλλεται. Το παραλαμβάνει ο VPN server, το κάνει decapsulate, το αποκρυπτογραφεί και βλέπει ότι πρόκειται για ένα broadcast πακέτο οπότε το στέλνει στο switch του υποδικτύου. Το switch το κάνει broadcast παντού οπότε το λαμβάνει ο gateway (155.207.212.100) και απαντάει με ένα ARP response με την MAC του, το οποίο έχει destination ΜΑC την MAC του tap0. To switch ξέρει την MAC του tap0 από το port που συνδέεται ο VPN server, οπότε το στέλνει εκεί και το παραλαμβάνει το φυσικό interface του VPN server (155.207.212.10). Το φυσικό interface κοινοποιεί το πακέτο στο αντίστοιχο tap interface του VPN server (τα δυο interfaces είναι bridged). To ΟpenVPN του VPN server κρυπτογραφεί το πακέτο, του βάζει src IP 155.207.212.10 και dst IP την public IP του home net και το στέλνει στο φυσικό interface του VPN server και από εκεί το πακέτο φτάνει στο wlan0 του OS μας. Το wlan0 το παραδίδει στο OpenVPN software (tap0) το οποίο το αποκρυπτογραφεί και βγαίνει το ARP response (155.207.212.100 is at 00:0f:3d... (η ΜΑC του gateway). Έτσι, μάθαμε την MAC προς την οποία πρέπει να φύγει το ICMP πακέτο...

Ασφάλεια Δικτύων Virtual Private Networks Στον υπολογιστή του σπιτιού (μετά το VPN): Ping από τον VPN χρήστη, στον 155.207.113.227 – Τι γίνεται στα layers; # ping 155.207.113.227 PING 155.207.113.227 (155.207.113.227) 56(84) bytes of data. 64 bytes from 155.207.113.227: icmp_req=1 ttl=63 time=0.411 ms Το OS δημιουργεί το ICMP πακέτο και το βάζει σε ένα layer 3 πακέτο (με src IP την 155.207.212.68 και dst IP την 155.207.113.227, το οποίο το ενθυλακώνει σε ένα Ethernet πακέτο (layer 2) με destination MAC την MAC του gateway (155.207.212.100) που μόλις έμαθε. Το OS παραδίδει το παραπάνω πακέτο στο tap0 interface, που το παραδίδει στο OpenVPN software που το κρυπτογραφεί και το στέλνει στο wlan0 interface το οποίο το ενθυλακώνει σε ένα layer 3 πακέτο με src IP την 192.168.1.200 και dst IP την 155.207.212.10 (VPN server). O VPN server (tap0) το παραλαμβάνει και αποκρυπτογραφεί το payload. Προκύπτει το πακέτο με src IP 155.207.212.68 και dst IP 155.207.113.227, το οποίο παραδίδεται στο φυσικό interface, το οποίο το στέλνει στο switch. To switch βλέπει ότι έχει destination MAC την MAC του gateway (155.207.212.100) και του το παραδίδει. Ο gateway βλέπει ότι το πακέτο έχει destination το 155.207.113.227 οπότε ψάχνει σε ποιο υποδίκτυό του ανήκει η IP αυτή. Βρίσκει ότι ανήκει στο 155.207.113.0/24 Ο gateway κάνει broadcast ARP request στο 155.207.113.0/24 υποδίκτυο για να μάθει σε ποια MAC address να στείλει το πακέτο. Ο 155.207.113.227 απαντάει με ARP reply: 155.207.113.227 is at 00:cd:1f... O gateway ενθυλακώνει το IP πακέτο σε ένα Ethernet πακέτο με dst MAC αυτή του 155.207.113.227 που μόλις έμαθε, το στέλνει από το interface του στο οποίο συνδέεται το 155.207.113.0/24 subnet, εκεί το παραλαμβάνει το switch, το οποίο ξέρει από πριν πίσω από ποιο interface του βρίσκεται ο 155.207.113.227 ο οποίος και το παραλαμβάνει (επιτέλους).

Ασφάλεια Δικτύων Virtual Private Networks Εργασία Στο βήμα 14 στην προηγούμενη διαφάνεια, ο 155.207.113.227 παρέλαβε το ICMP ping και τώρα θα απαντήσει. Εργασία: Καταγράψτε για κάθε φυσικό link από το οποιο θα περάσει η ICMP απάντηση, src και dst του κάθε layer, καθώς και τι υπάρχει ως payload στο υψηλότερο layer, μέχρι να φτάσει στον υπολογιστή μας και να εμφανιστεί η απάντηση: 64 bytes from 155.207.113.227: icmp_req=1 ttl=63 time=0.411 ms switch ADSL Router Router A.Π.Θ. Internet 192.168.1.200 155.207.212.68 VPN Server (155.207.212.10) 155.207.113.227 Για το κομμάτι “Internet” μείνετε σε layer >= 3