5. Общая информация по настройке сети.

Понимание следующих подразделов необходимо для конфигурирования сети. Они содержат информацию, необходимую Вам независимо от типа и структуры Вашей сети.

5.1 С чего начать?

Для компиляции и настройки сетевой подсистемы Вам нужны несколько вещей. Самые важные из них:

Исходный код текущего ядра.

Поскольку ядро, используемое Вами сейчас, может не иметь встроенной поддержки для тех типов сетевых карт и тех протоколов, которые Вы захотите использовать, Вам может потребоваться перекомпилировать ядро с соответствующими опциями.

Вы всегда можете получит исходный код последних версий ядра по ftp с основного сайта ftp.kernel.org. Следует отметить, однако, что этот сайт перегружен, поэтому старайтесь получать исправления вместо файлов целиком, кроме того, рекомендуем Вам воспользоваться "зеркалами", такими как ftp.funet.fi. Кроме того, свежие исходные тексты ядра обычно есть на многих сайтах, посвященных Линуксу.

Исходный код ядра обычно распаковывают в каталог /usr/src/linux За информацией о том, как внести в ядро исправления и скомпилировать его, обращайтесь к Kernel-HOWTO. Информация о конфигурировании ядра содержится в ``Modules-mini-HOWTO''. Еще одним полезным источником информации являются файл README и каталог Documentation, входящие в состав исходных текстов ядра.

Рекомендуем Вам пользоваться стандартным выпуском ядра (c четной второй цифрой в номере версии), если в тексте явно не сказано обратное. Выпуски ядра для разработчиков (с нечетной второй цифрой в номере версии) обычно имеют серьезные структурные изменения и могут оказаться несовместимыми с Вашими программами. Если вы не уверены в своей способности (или желании) решить подобные проблемы, в дополнение к возможным ошибкам в этих версиях ядра, не используйте их.

С другой стороны, некоторые из описываемых возможностей были введены в ядрах версий 2.1, поэтому у Вас есть выбор -- либо пользоваться версиями 2.0 и ждать версий 2.2 со всеми программами поддержки новых возможностей, либо пользоваться версиями 2.1 и искать эти программы самостоятельно. На момент написания этого абзаца (Август 1998) последней версией была 2.1.115 и появление версии 2.2 ожидалось в ближайшем будущем.

Сетевые утилиты.

С помощью этих программ Вы можете конфигурировать сетевые устройства. Они, например, позволяют Вам назначать сетевые адреса и настраивать маршрутизацию.

Большинство современных дистрибутивов Линукса включают эти программы, поэтому, если вы не установили их из вашего дистрибутива, самое время сделать это.

Если Вы устанавливали Линукс не из дистрибутива, Вам потребуется скомпилировать эти программы из исходного кода. Это не слишком сложно.

Набор сетевых утилит ведется сейчас Берндом Экенфельдсом (Bernd Eckenfels) и может быть получен по ftp по адресу ftp.inka.de или с "зеркала" ftp.uk.linux.org.

Убедитесь, что версия полученного Вами пакета совместима с Вашим ядром. После этого следуйте содержащимся в пакете инструкциям по установке.

Чтобы скомпилировать и установить этот пакет на момент написания этого документа требовалось выполнить следующие команды:

Если вы собираетесь установит файрволл или использовать средства IP-маскарада Вам понадобится программа ipfwadm. Последнюю версию этой программы Вы можете получить по ftp по адресу ftp.xos.nl. Убедитесь, что полученная версия совместима в Вашим ядром. Так как работа файрволла в версиях 2.1 изменилась, дальнейшее относится только к ядрам версий 2.0.

Для установки и настройки выполните следующие команды:

Если Вы используете версии 2.2 или поздние версии 2.1, настройка файрволла выполняется без программы ipfwadm. В данной версии этого документа новая система настройки файрволла не рассматривается.

Сетевые приложения.

К сетевым приложениям относятся, такие программы как telnet и ftp и их демоны. Дистрибутивы основных программ этого типа ведутся Дэвидом Холландом (David Holland). Пишите по адресу netbug@ftp.uk.linux.org. Вы можете получить эти программы по адресу ftp.uk.linux.org.

В марте 1997 года пакет сетевых приложений был разбит на несколько небольших пакетов, а в мае 1997 основные программы были объединены в пакете netkit-base-0.10. Вам может понадобится этот базовый пакет, и некоторые из дополнительных.

Для установки и настройки этих программ выполните следующие команды:

Адреса.

Адреса в протоколе IP состоят из четырех байт. Их принято записывать в так называемой `dotted decimal notation' (десятичной нотации). В ней каждый байт представляется десятичным числом (0-255), байты разделены знаками '.' Каждому сетевому интерфейсу на компьютере или маршрутизаторе присваивается IP-адрес. Возможно использование одного адреса несколькими интерфейсами на одной машине, но как правило этого не делают.

Применяя к адресу и маске операцию `побитовое И' получаем адрес сети. Таким образом, адрес сети всегда является наименьшим в последовательности и имеет нулевую машинную часть.

`Широковещательный' адрес -- специальный адрес, который "слушают" все машины в сети, кроме своего собственного. По этому адресу отправляются пакеты, предназначенные всем машинам в сети. Таким образом передается информация о маршрутизации или сетевые сообщения об ошибках. Есть два стандарта того, какой адрес в сети использовать в качестве широковещательного. Наиболее распространенный стандарт -- использовать для этого наибольший адрес в IP-сети. В приведенном примере это 192.168.110.255. Однако некоторые сайты используют сетевой адрес в качестве широковещательного. На практике не очень важно, какого стандарта придерживаться, однако всегда следует убедится, что все машины в сети сконфигурированы на использование одного широковещательного адреса.

По административным причинам на ранних стадиях разработки протокола IP, некоторые группы адресов были сгруппированы в сети и разбиты на классы. Каждый класс состоит из сетей одинакового объема.

Используемые Вами адреса зависят от контекста, в котором Вы их используете. Вам может потребоваться произвести следующие действия:

Установка компьютера в уже существующую сеть

Если Вы собираетесь устанавливать машину с Линуксом в уже существующую сеть, узнайте у Вашего сетевого администратора следующие адреса:

• IP-адрес машины
• IP-адрес сети
• широковещательный IP-адрес
• маску
• IP-адрес маршрутизатора
• IP-адрес сервера имен (DNS-server)

После этого Вы должны сконфигурировать сетевое устройство на вашей машине в на использование этих адресов.

Создание новой сети, которая не будет подключена к интернету.

Если Вы создаете внутреннюю сеть, которую Вы не собираетесь в будущем подключать к интернету, Вы можете выбрать любые адреса. Однако, из соображений безопасности и единообразия, определенные IP-адреса были специально зарезервированы для подобных целей. Эти адреса описаны в RFC1597 следующим образом.

        -----------------------------------------------------------

        |       АДРЕСА, ЗАРЕЗЕРВИРОВАННЫЕ ДЛЯ ВНУТРЕННИХ СЕТЕЙ     |

        -----------------------------------------------------------

        | Сетевой |    Маска      | Сетевые адреса                |

        |  Класс  |               |                               |

        -----------------------------------------------------------

        |    A    | 255.0.0.0     | 10.0.0.0    - 10.255.255.255  |

        |    B    | 255.255.0.0   | 172.16.0.0  - 172.31.255.255  |

        |    C    | 255.255.255.0 | 192.168.0.0 - 192.168.255.255 |

        -----------------------------------------------------------

        

Все, что Вам нужно сделать -- это решить, сколько адресов Вам нужно, и выбрать подходящий диапазон.

5.2 Где размещать команды конфигурации ?

Есть несколько разных подходов к организации процесса загрузки Линукса. После своей загрузки ядро всегда запускает программу, называющуюся `init'. Эта программа читает файл /etc/inittab и выполняет процесс загрузки системы. Есть несколько вариантов программы init, повсеместно используется версия из System V, написанная Мигелем ван Смуренбургом (Miguel van Smoorenburg.).

В разных дистрибутивах процесс загрузки организован по-разному. Обычно файл /etc/inittab содержит набор строчек типа

Эта строчка задает имя скрипта, который выполняет загрузку. Такой скрипт играет роль, схожую с ролью файла autoexec.bat в МS-DOS.

Обычно этот скрипт вызывает другие скрипты, и сеть конфигурируется в одном из них.

Обратите внимание, что дистрибутивы Debian и Red Hat содержат отдельный каталог для скриптов для запуска системных сервисов (хотя сами файлы настроек находятся в других местах, в дистрибутиве Red Hat они хранятся в каталоге /etc/sysconfig). Для понимания процесса загрузки ознакомьтесь с содержимым файла /etc/inittab и документацией по процессу init. Готовится к публикации статья в Linux Journal, как только она будет доступна на www, в этот документ будет включена соответствующая ссылка.

Большинство современных дистрибутивов включают программы для настройки большинства типов сетевых интерфейсов. Если такая программа у вас есть, попробуйте использовать ее, прежде чем вносить исправления вручную.

5.3 Создание сетевых интерфейсов.

Во многих операционных системах из семейства Unix сетевые устройства представлены в виде файлов в каталоге /dev В Линуксе это не так. В Линуксе сетевые устройства создаются динамически, и поэтому не требуют наличия соответствующих файлов в каталоге /dev

В большинстве случаев сетевое устройство создается драйвером, после того как тот проинициализируется и обнаружит сетевую карту. Например, драйвер ethernet-карты создает интерфейсы с именами eth[0..n] по мере обнаружения всех сетевых карт в Вашей машине. Первая сетевая карта связывается с интерфейсом eth0, вторая -- eth1 и т.д.

Однако в некоторых случаях, в частности в случае интерфейсов slip и ppp, интерфейсы создаются пользовательским программами. При этом сохраняется принцип последовательной нумерации интерфейсов, однако интерфейсы не создаются в момент загрузки. Причина этого состоит в том, что количество работающих slip- и ppp-интерфейсов может меняться в ходе работы машины, в отличие от количества ethernet-карт. Эти случаи будут подробнее рассмотрены в следующих разделах.

5.4 Настройка сетевого интерфейса.

Итак, у Вас есть все необходимые программы, адреса и информация о сети. Можно приступать к настройке сетевых интерфейсов. Настройка заключается в присвоении соответствующих адресов сетевому устройству и установке нужных значений для других параметров сетевого устройства. Наиболее часто для этого используется программа ifconfig.

Вы должны запустить ее примерно следующим образом:

В этом случае сетевому устройству eth0 будет присвоен IP-адрес `192.168.0.1' и маска `255.255.255.0'. Ключ `up' в конце команды делает интерфейс активным. Это действие по умолчанию, поэтому Вы можете опустить этот ключ. Для дезактивации интерфейса используйте команду ``ifconfig eth0 down''.

Ядро при конфигурации интерфейса принимает некоторые значения по умолчанию. Например, вы можете явно указать сетевой и широковещательный адрес для интерфейса, однако если Вы этого не сделаете, как в примере выше, ядро попытается "угадать" правильные значения на основе указанных адреса и маски. Если Вы не укажете маску, она будет выбрана в соответствии с тем классом адресов, в который попадет указанный адрес. В примере выше ядро предположило бы, что машина находится в сети класса C, и установило бы сетевой адрес в '192.168.0.0' а широковещательный в '192.168.0.255'.

Программа ifconfig имеет множество опций, наиболее полезные из которых:

up

активирует интерфейс (это действие по умолчанию).

down

дезактивирует интерфейс

[-]arp

разрешает и запрещает использование протокола преобразования адресов (arp) на данном интерфейсе.

[-]allmulti

разрешает и запрещает прием аппаратных пакетов с несколькими адресатами (multicast-пакетов). Такие пакеты позволяют группе машин принимать пакеты, отправленные на специальный адрес. Такая возможность используется в приложениях вроде видеоконференцсвязи, но как правило не используется

mtu N

позволяет установит MTU для интерфейса

netmask <addr>

этот параметр позволяет задать маску сети, в которой находится данный интерфейс

irq <addr>

этот параметр работает только с определенными типами сетевых карт и позволяет задать IRQ для соответствующей интерфейсу карты

[-]broadcast [addr]

этот параметр разрешает прием широковещательных пакетов на заданный адрес либо запрещает прием таких пакетов.

[-]pointopoint [addr]

этот параметр позволяет установить адрес машины на противоположном конце соединения точка-точка (например slip или ppp)

hw <type> <addr>

этот параметр позволяет задать аппаратный адрес некоторых типов сетевых устройств. Эта опция редко используется в сетях ethernet, но очень полезна в сетях других типов сетей, таких как AX.25

Вы можете использовать программу ifconfig для любого сетевого интерфейса. Некоторые программы, такие как pppd и dip автоматически конфигурируют сетевой интерфейс после создания и не требуют дальнейшей ручной настройки.

5.5 Настройка Системы Преобразования Имен (Name Resolver)

Система преобразования имен -- часть стандартной библиотеки Линукса. Ее основное назначение -- преобразовывать понятные пользователю имена вроде `ftp.funet.fi' в понятные компьютеру IP-адреса, такие как 128.214.248.6.

Что такое "имя" ?

Вы, по-видимому, знакомы с тем, как выглядят имена машин в интернете, но можете не знать, как они конструируются. Система имен в интернет является иерархической, организованной в виде дерева. Доменом называется семейство имен. Домен может быть разбит на поддомены. Домены, которые не являются поддоменами других доменов, называются доменами верхнего уровня. Имена доменов верхнего уровня описаны в RFC920. В частности это следующие домены:

COM

Коммерческие организации

EDU

Учебные заведения

GOV

Правительственные организации

MIL

Военные организации

ORG

Другие организации

NET

Сетевые организации

Код страны

Двухбуквенный код ISO, соответствующий определенной стране

По историческим причинам большая часть доменов, не заканчивающихся на код страны относится с США, хотя Соединенные Штаты имеют свой код `.us'. В настоящее время, однако, домены .com and .org широко используются и не-американскими организациями.

Каждый из этих доменов имеет свои поддомены. Домены стран часто разделяются на поддомены com, edu, gov, mil и org. Например домены коммерческих и правительственных организаций в Австралии заканчиваются на com.au и gov.au соответственно. Заметим, однако, что это не всеобщая практика, в некоторых странах такого разбиения не производится.

Следующее слово в доменном имени обычно соответствует названию организации. Дальнейшая детализация может быть разной, например представлять структуру подразделений и отделов в организации, или быть построенной по другому принципу, выбранному сетевым администратором.

Первое слово в имени -- уникальное (в рамках домена) `имя машины'. Оставшаяся часть называется `именем домена', а в целом они составляют `Полностью определенное доменное имя'.

Например в имени 'perf.no.itg.telstra.com.au' именем машины является `perf' а именем домена -- `no.itg.telstra.com.au'. Этот домен принадлежит к домену страны Австралия, поддомену Австралийских коммерческих организаций. Организация называется `telstra', а внутренняя структура поддомена организации соответствует ее административной структуре -- в нашем примере машина принадлежит отделу `Network Operations' (no) в подразделении `Information Technology Group' (itg).

Обычно имена получаются более короткими, например, интернет-провайдер ``systemy.it'' и организация ``linux.it'' без поддоменов com и org. Машина имеет имя ``morgana.systemy.it'', а e-mail адрес -- rubini@linux.it. Владелец домена имеет право регистрировать и машины и поддомены в рамках своего домена, например, группа пользователей Линукса имеет поддомен pluto.linux.it, зарегистрированный у владельцев домена linux.it.

Что Вам нужно знать ?

Вы должны знать, какому домену принадлежат Ваши машины. Программы преобразования имен используют для работы `Сервер Преобразования Имен' (Domain Name Server, DNS), поэтому Вы должны знать адрес этого сервера.

После этого вы должны отредактировать следующие три файла:

/etc/resolv.conf

Главный файл конфигурации системы преобразования имен -- /etc/resolv.conf. Он имеет весьма простой формат. Это текстовый файл, каждая строка которого задает один из параметров системы преобразования имен. Как правило, используются три ключевых слова-параметра:

domain

Задает имя локального домена.

search

Задает список имен доменов, которые будут добавляться к имени машины, если Вы не укажете явно имени домена для этой машины

nameserver

Этот параметр, который вы можете указывать несколько раз, задает IP-адрес сервера преобразования имен, на который ваша машина будет посылать запросы. Повторяя этот параметр, Вы можете задать несколько серверов.

Например, /etc/resolv.conf может выглядеть так:

В этом примере машина находится в домене maths.wu.edu.au. Если Вы зададите имя машины, не указывая домена, например `boulder', то система преобразования имен попытается сначала найти машину `boulder.maths.wu.edu.au', а в случае неудачи -- `boulder.wu.edu.au'. Для преобразования имен Ваша машина будет обращаться к серверам по адресам `192.168.10.1' и `192.168.12.1'.

/etc/host.conf

В файле /etc/host.conf задаются параметры, влияющие на поведение системы преобразования имен. Полностью формат этого файла описан на man-странице `resolv+', но в большинстве случаев будет достаточно такого файла:

Эти параметры указывают системе преобразования имен, что надо просмотреть файл /etc/hosts перед тем, как посылать запрос к серверу, и что следует возвращать все найденные в /etc/hosts адреса для данного имени, а не только первый.

/etc/hosts

В этом файле Вы можете указать имена и IP-адреса машин в локальном домене. Для преобразования имен из этого файла Вашей машине не прийдется обращаться к серверу. Недостаток такого подхода в том, что Вам надо самостоятельно следить за всеми изменениями в структуре Вашей локальной сети и вносить изменения в файл /etc/hosts, если IP-адрес какой-нибудь из машин изменится. Как правило в этом файле указывают только 2 имени:

Обратите внимание на первую строчку. Она демонстрирует, что Вы можете указать более одного имени для IP-адреса. Адрес `127.0.0.1' всегда используется для так называемого `кольцевого интерфейса'.

Настройка Сервера Преобразования Имен

Вы можете запустить на своей машине локальный сервер имен. Это несложно. Подробно этот процесс описан в DNS-HOWTO или в любой документации по системе BIND (Berkeley Internet Name Domain).

5.6 Настройка кольцевого интерфейса.

`Кольцевой' интерфейс -- специальный интерфейс, связывающий Вашу машину саму с собой. Его можно использовать для разных целей. Например, Вы можете захотеть протестировать какое-либо сетевое программное обеспечение, не вмешиваясь в работу других машин в сети. Для этого интерфейса специально зарезервирован адрес `127.0.0.1'. Поэтому, запустив telnet на адрес 127.0.0.1 на любой машине, получите соединение с этой же машиной. Настройка кольцевого интерфейса очень проста (Как правило эти действия выполняет один из инициализационных скриптов).

Команда route будет подробно рассмотрена в следующем разделе.

5.7 Маршрутизация.

Маршрутизация -- широкая тема, и о ней можно можно написать очень много. Для большинства, однако, схема маршрутизации будет достаточно простой, поэтому здесь будет рассмотрены только базовые вопросы, связанные с маршрутизацией. Если Вы интересуетесь этой темой, то можете обратиться к источникам, указанным в начале этого документа.

Начнем с определения. Итак, что же такое IP-маршрутизация?

Проиллюстрируем это определение на примере. Представьте себе обычный офисный маршрутизатор, который имеет PPP-соединение с интернетом, несколько подключенных сегментов локальной ethernet-сети и PPP-соединение с другим офисом. Когда через один из интерфейсов на маршрутизатор приходит IP-пакет, маршрутизатор должен решить, через какой из интерфейсов отправлять этот пакет далее. Даже простым машинам может потребоваться маршрутизировать пакеты, так как они имеют по меньшей мере два интерфейса -- один кольцевой, описанный выше, и второй, через который они подключены к реальной сети, например ethernet-интерфейс, или интерфейс подключения по последовательным линиям PPP или SLIP.

Как же происходит маршрутизация? На каждой машине хранится специальный список правил маршрутизации, называемый таблицей маршрутизации. Любая строка этой таблицы как правило содержит по меньшей мере три поля. Первое поле -- адрес назначения, второе -- имя интерфейса, через который следует отправлять пакеты, и третье -- IP-адрес машины, через которую будут передаваться пакеты. В Линуксе, Вы можете просмотреть таблицу маршрутизации с помощью следующей команды:

или одной из команд:

Процесс маршрутизации достаточно прост: когда машина получает IP-пакет, его адрес назначения (адрес машины, на которую отправлен этот пакет) сверяется с каждой строкой таблицы маршрутизации. Выбирается подходящая строка и пакет передается через указанный в этой строке интерфейс. Если поле адреса `машины-передатчика' заполнено, то пакет передается на эту машину, иначе считается, что адресат пакета находится в сети, к которой подключен данный интерфейс.

Для управления таблицей маршрутизации используется программа `route'. Эта программа преобразует свои аргументы в параметры вызова ядра, и ядро добавляет, удаляет или изменяет строки в таблице маршрутизации.

Простой пример. Представьте себе, что у вас есть ethernet-сеть. Она организована как сеть класса C с адресом '192.168.1.0'. Вашей машине был выделен адрес '192.168.1.10' и было сказано, что маршрутизатор, через который Ваша сеть подключена к интернету находится по адресу '192.168.1.1'.

Первым делом Вы должны настроить сетевой интерфейс. Команда будет выглядеть так:

После этого Вы должны добавить в таблицу маршрутизации на Вашей машине строку, согласно которой пакеты на машины с адресами `192.168.1.*' ядро должно отправлять через интерфейс eth0. Это делается с помощью следующей команды:

Обратите внимание на использование опции `-net'. Эта опция указывает, что адрес назначения в таблице маршрутизации будет адресом сети. С помощью опции `-host' вы можете задать маршрут на конкретный IP-адрес.

Этот маршрут позволит вам устанавливать IP-соединения со всеми машинами в вашем локальном ethernet-сегменте. Но как быть со всеми остальными машинами?

Было бы очень сложно задавать маршруты для всех возможных IP-сетей явно, поэтому используют следующий трюк -- маршрут по умолчанию. Маршрут по умолчанию подходит для всех адресов назначения, не указанных в таблице маршрутизации. С помощью маршрута по умолчанию Вы говорите ядру -- "а все остальное отправляй туда". В нашем примере маршрут по умолчанию настраивается командой:

Опция `gw' указывает программе route что следующий аргумент -- IP-адрес или имя маршрутизатора, на который надо отправлять все пакеты, соответствующие этой строке таблицы маршрутизации.

Итак полностью настройка будет выглядеть так:

Если Вы внимательно просмотрите ваши `rc' файлы, настраивающие сеть, Вы обнаружите, что по крайней мере один из них выглядит примерно так-же, как и в нашем примере. Приведенная конфигурация -- одна из самых распространенных.

Рассмотрим теперь несколько более сложную конфигурацию маршрутизации в сети. Представьте себе, что вы должны настроить маршрутизатор из предыдущего примера. У этого маршрутизатора есть одно PPP-соединение и три подключенных ethernet-сегмента. Настройка маршрутизации будет выглядеть так:

Во всей сети только маршрутизатор должен иметь в своей таблице маршрутизации отдельные строки для каждой из подсетей. На остальных машинах связь с другими сегментами локальной сети будет осуществляться с помощью маршрута по умолчанию. Они будут отправлять пакеты на маршрутизатор, о тот будет передавать их в нужный сегмент сети. Вас может удивить, что маршрут по умолчанию на маршрутизаторе не использует опции `gw'. Причина проста. Протоколы соединения по последовательным линиям, такие как PPP и SLIP всегда имеют только две машины в сети -- (соединение точка-точка) поэтому указание адреса бессмысленно -- на том конце соединения только одна машина. Таким образом, для подобных соединений нет нужды указывать адрес маршрутизатора, на который надо передавать пакеты. Для других типов сетей, таких как ethernet, arcnet или token ring требуется указывать адрес маршрутизатора, так как эти сети поддерживают подключение сразу многих машин к одному сегменту сети.

Что делает программа routed ?

Настройка маршрутизации в приведенных примерах лучше всего подходит для простых сетей, в которых между точками отправки и назначения существует единственный маршрут. В более сложных сетях это не так, и маршрутизация становится сложнее. К счастью, большинству из вас не прийдется сталкиваться с таким сетями.

Проблема со статической маршрутизацией, которую мы описали в примерах состоит в том, что если сетевое соединение, через которое ваша машина отправляла пакеты откажет, то единственным выходом для Вас будет вручную изменить таблицу маршрутизации. Это медленно, непрактично и чревато ошибками. Поэтому были разработаны методы, позволяющие автоматически изменять таблицы маршрутизации в случае сбоев в сети. Эти методы работают только в сетях, где между машиной-отправителем и машиной адресатом есть несколько маршрутов. Все эти методы обычно называют "Протоколами динамической маршрутизации".

Вы возможно слышали о некоторых распространенных протоколах динамической маршрутизации. Самые широко используемые протоколы -- RIP (Routing Information Protocol) (Протокол информации о маршрутизации) и OSPF (Open Shortest Path First Protocol) (Протокол кратчайшего открытого пути). Протокол RIP используется в основном в небольших сетях, таких как сеть небольшой или средней организации. Более современный протокол OSPF обладает бОльшими возможностями для управления большими сетями в которых существует много маршрутов между отправителем и адресатом. Самые распространенные реализации этих протоколов -- программы `routed' -- RIP и `gated' -- RIP, OSPF и другие. Программа `routed' обычно включается в дистрибутивы Линукса и включена в пакет `NetKit', упомянутый выше.

Пример использования динамической маршрутизации может выглядеть примерно так:

У Вас есть три маршрутизатора -- A, B и C. Каждый из них обслуживает по одному ethernet-сегменту с IP-сетью класса C (маска 255.255.255.0). Кроме того, каждый из них имеет PPP-соединения с двумя другими. Сеть имеет форму треугольника.

Таблица маршрутизации на маршрутизаторе A задается следующими командами:

Все будет нормально, пока не произойдет сбой на соединении между маршрутизаторами A и B. В случае сбоя машины из сегмента A не смогут установить соединения с машинами из сегмента В, так как маршрутизатор A будет пытаться передать пакеты через интерфейс ppp0. В то же время он смогут связываться с машинами из сегмента C, а машины из сегмента C смогут связываться с машинами из сегмента В.

Но раз сегмент A "видит" сегмент B, а тот, в свою очередь "видит" сегмент C, то почему бы маршрутизатору A не передавать пакеты для машин из сегмента B через маршрутизатор C ? Именно это и помогает осуществить динамическая маршрутизация. Если на каждом из маршрутизаторов будет запущена демон динамической маршрутизации, то их таблицы маршрутизации будут автоматически изменены, чтобы подстроиться под изменения, произошедшие в структуре сети при сбое одного из соединений. Для настройки динамической маршрутизации в нашем примере будет достаточно выполнить на каждом из маршрутизаторов по две команды. Например, на маршрутизаторе A:

Демон `routed' при запуске автоматически найдет все активные сетевые интерфейсы и начнет передавать и принимать специальные пакеты, с помощью которых он будет постоянно иметь представление о текущей структуре сети, и настраивать в соответствии с ней таблицу маршрутизации.

Это очень краткое описание динамической маршрутизации и сетей, в которых Вам следует ее использовать. Для получения более подробной информации обратитесь к ссылкам, приведенным в начале этого документа.

Резюмируя вышесказанное:

5.8 Настройка сетевых серверов и сервисов.

Сетевые сервера и серверы -- это программы, позволяющие пользователям на других машинах использовать Вашу машину. Сетевые серверы "слушают" сетевые порты. Сетевые порты -- средство вызова нужного сервиса на нужной машине. С их помощью машина отличает входящие telnet-соединения от входящих ftp-соединений. Удаленный пользователь запрашивает сетевое соединение с вашей машиной, а сервер на вашей машине, "слушающий" запрашиваемый порт устанавливает и обслуживает соединение. Сервера обычно работают в одном из двух режимов:

самостоятельный

сетевой сервер (демон) слушает один из сетевых портов, и при запросе входящего соединения открывает и обслуживает его.

работающий под управлением демона inetd

демон inetd -- особый сетевой сервер, занимающийся управлением входящими сетевыми соединениями. В его файле конфигурации описано, какая программа должна быть запущена при запросе на входящее соединение. Каждый из портов в этом файле описывается как обслуживающий соединения по протоколу tcp или протоколу udp, или обоим этим протоколам. Порты описываются в другом файле, который будет вскоре рассмотрен.

Вам нужно настроить два важных файла -- /etc/services, в котором числовым номерам портов присваиваются мнемонические имена и /etc/inetd.conf -- конфигурационный файл для демона inetd.

/etc/services

Файл /etc/services -- простая таблица, задающая соответствия между числовыми номерами портов и читаемыми мнемоническими именами. Формат этого файла очень прост. Это текстовый файл с тремя полями в каждой строчке:

  имя           порт/протокол   псевдонимы      # комментарий

  

имя

слово, задающее имя сервиса.

порт/протокол

это поле разбито на два подполя.

порт

число, задающее номер порта, на котором находится данный сервис. Большинство основных сервисов имеют зарезервированные номера портов. Эти номера описаны в RFC1340.

протокол

подполе, содержащее tcp или udp

Очень важно понимать, что строки, содержащие поля 10/tcp и 10/udp вообще говоря не связаны между собой, поэтому сервис, привязанный к 10/tcp совсем не обязан быть привязанным к 10/udp. Как правило, обе строки в таблице присутствуют только для тех сервисов, которые реально обслуживают соединения по обоим протоколам.

псевдонимы

другие имена, которые можно использовать для задания данного сервиса.

Любой текст после символа `#' считается комментарием и игнорируется.

Пример файла /etc/services.

Все современные дистрибутивы Линукса содержат весьма полный файл `/etc/services'. На случай, если Вы устанавливаете систему не из дистрибутива, приводим файл /etc/services, включенный в дистрибутив Debian.

В реальности этот файл постоянно растет по мере появления новых сервисов. Если Вы опасаетесь, что Ваш экземпляр этого файла недостаточно полон, возьмите его из одного из последних дистрибутивов.

/etc/inetd.conf

Файл /etc/inetd.conf -- файл конфигурации для демона inetd. Его назначение в том, чтобы описать, какие действия должен выполнить inetd при получении входящего запроса. Для каждого из сервисов, обслуживаемых демоном inetd Вы должны указать, какую программу надо запустить для обслуживания этого соединения и как ее запускать.

Формат этого файла также весьма прост. Это текстовый файл, в каждой строке которого описывается один из сервисов. Любой текст после символа `#' до конца строки считается комментарием и игнорируется. Каждая строка содержит семь полей, разделенных произвольным количеством пробелов или символов табуляции. Формат строки таков:

сервис

имя сервиса из файла /etc/services

тип_сокета

задает какого типа сокет следует создавать для обслуживания соединения. Допустимыми значениями являются stream, dgram, raw, rdm, seqpacket. Не вдаваясь в технические подробности можете пользоваться следующим правилом -- как правило соединения по протоколу tcp используют тип stream, а соединения по протоколу udp -- тип dgram. Только для нескольких специальных сетевых серверов используются другие значения этого поля.

протокол

протокол, считающийся допустимым для данного сервиса. Это должен быть один из протоколов, описанных в файле /etc/services для данного сервиса, и как правило имеет значение tcp или udp. Серверы на базе протокола "Вызовов удаленных процедур" (RPC, Remote Procedure Call) фирмы Sun имеют в этом поле значения rpc/tcp или rpc/udp.

флаг

это поле может иметь одно из двух значений -- wait и nowait. В зависимости от значения этого поля, демон inetd будет запускать несколько экземпляров сервера, обслуживающего данное соединение, или будет дожидаться завершения работы сервера, предполагая, что сервер самостоятельно обслужит все приходящие во время его работы запросы. Как правило, для tcp-сервисов это поле имеет значение nowait, а для udp-сервисов -- wait. Впрочем из этого правила есть несколько важных исключений, так что будьте внимательны и обратитесь к документации сервера, если не уверены.

имя_пользователя

задает, с какими полномочиями будет работать запущенный сервер. это имя из файла /etc/passwd используется из соображений безопасности. Установив его в nobody Вы минимизируете риск и возможный ущерб при "взломе" вашего сервера. Впрочем, многие из важных серверов требуют привилегий пользователя "root" для того, чтобы правильно функционировать.

путь_к_серверу

путь для запуска программы-сервера

параметры_сервера

это поле может быть опущено. В нем вы можете указать, какие параметры следует передать в командной строке сервера при его запуске.

Пример файла /etc/inetd.conf

Как и в случае с файлом /etc/services, большинство современных дистрибутивов содержат достаточно полный файл /etc/inetd.conf Приведем в качестве примера файл /etc/inetd.conf из дистрибутива Debian.

5.9 Другие файлы, связанные с настройкой сети.

Информация о настройке сети содержится еще в некотором количестве файлов. Вам по-видимому не потребуется изменять их, но в любом случае полезно представлять себе, как они устроены и для чего предназначены.

/etc/protocols

Файл /etc/protocols ставит в соответствие номера и имена протоколов. Он позволяет программистам указывать в своих программах протоколы, пользуясь легко запоминаемыми мнемоническими именами, а также некоторыми программами, такими как tcpdump, для отображения мнемонических имен протоколов. Формат этого файла таков:

Файл /etc/protocols из дистрибутива Debian

/etc/networks

Файл /etc/networks имеет почти то же самое значение, что и файл /etc/hosts. Он позволяет задавать имена для сетевых IP-адресов. В отличие от /etc/hosts, в каждой строке этого файла задается два поля:

Например:

При запуске программы route, если адрес назначения является сетевым, Вы можете использовать имя из файла /etc/networks вместо IP-адреса.

5.10 Безопасность и управление доступом.

Хотелось бы начать этот раздел с предупреждения, что обеспечение безопасности Вашей машины -- сложная вещь. Здесь описываются только самые простые механизмы защиты машины в сети от несанкционированного доступа. Если Вы желаете заняться этим вопросом более серьезно, Вам прийдется ознакомится самостоятельно с информацией на эту тему, доступной в интернете, в том числе Security-HOWTO.

Важное и простое правило обеспечения безопасности -- `Не запускайте ненужные сервера." Многие дистрибутивы устроены таким образом, что стартуют после запуска все установленные сервера. Для обеспечения минимального уровня безопасности просмотрите файл /etc/inetd.conf и закомментарьте (поставьте символ `#' в начале строки) во всех строчках с сервисами, которые Вы не собираетесь использовать. Хорошими кандидатами для этого будут такие сервисы как shell, login, exec, uucp, ftp и информационные сервисы -- finger, netstat, systat.

Из всего многообразия механизмов обеспечения безопасности здесь будут описаны самые простые.

/etc/ftpusers

Файл /etc/ftpusers -- простейший механизм, позволяющий Вам запретить некоторым пользователям получать доступ к Вашей машине по ftp. Этот файл используется программой-сервером ftp (ftpd) при обработке входящего соединения. Этот файл содержит список имен пользователей, которые не имеют права работать с вашей машиной по ftp. Он может выглядеть например так:

/etc/securetty

Файл /etc/securetty задает список устройств tty, с которых в систему может входить пользователь `root'. Этот файл используется программой регистрации в системе (обычно /bin/login). Он содержит список устройств, которыми можно пользоваться для работы в системе под именем root, на всех остальных устройствах пользователь root не сможет войти в систему.

Механизм управления доступом с помощью программы tcpd

Вы уже встречали упоминание о программе tcpd в файле /etc/inetd.conf. Эта программа обеспечивает протоколирование и ограничение доступа к тем сервисам, которые она защищает. При запуске из демона inetd она читает два файла, содержащие правила разрешения или запрещения доступа, и действует в соответствии с этими правилами. Эта программа будет искать файлы /etc/hosts.allow и /etc/hosts.deny. Если оба эти файла отсутствуют, то доступ к любому из сервисов разрешается. Структура этих файлов будет описана далее, а за подробностями о работе программы tcpd обратитесь к соответствующим man-страницам (советуем Вам начать со страницы hosts_access(5)).

/etc/hosts.allow

Файл /etc/hosts.allow -- один из конфигурационных файлов программы /usr/sbin/tcpd. Этот файл содержит правила, описывающие машины, с которых разрешен доступ к сервисам на Вашей машине.

Формат файла /etc/hosts.allow весьма прост:

список_сервисов

список имен серверов, разделенных запятыми, к которым относится данное правило. Например: ftpd, telnetd, fingerd.

список_машин

список имен машин, разделенных запятыми. Можете вместо имен использовать IP-адреса. Вы можете задавать группы имен. Например: gw.vk2ktj.ampr.org -- описывает конкретную машину, .uts.edu.au -- описывает все машины, чьи имена оканчиваются на .uts.edu.au, 44. -- описывают все машины, чьи IP-адреса начинаются на 44. Есть несколько специальных значений для этого поля -- например ALL обозначает любую машину, LOCAL -- любую машину без символов `.' в имени (машины из Вашего домена), PARANOID -- машину, чье имя не соответствует ее адресу (возможно в результате подделки имени). Еще одно полезное значение -- EXCEPT -- позволяет Вам указывать исключения из списка. Все эти значения будут проиллюстрированы на примере.

команда

это поле можно опустить. оно задает полной путь к программе, которую следует запустить, когда текущее правило подходит к обрабатываемому запросу. Это может быть программа, которая будет пытаться определить, кто пытается получить доступ, или отправит почтовое сообщение или другое предупреждение системному администратору о том, что кто-то пытается получить доступ. При запуске можно использовать переменные -- например переменная %h содержит имя (или адрес, если у машины нет имени) машины, которая пытается получить доступ, %d содержит имя запрашиваемого сервера.

Пример файла /etc/hosts.allow

/etc/hosts.deny

Файл /etc/hosts.deny аналогичен файлу /etc/hosts.allow и содержит правила, в соответствии с которыми программа tcpd отказывает в соединении некоторым машинам.

Пример файла /etc/hosts.deny

Строка ALL: PARANOID в данном примере лишняя, так как поглощается строкой ALL: ALL. Любая из этих строк вполне подойдет для конфигурации Вашей машины по умолчанию.

Самая безопасная конфигурация -- указать правило ALL: ALL в файле /etc/hosts.deny и открыть доступ со всех нужных машин в файле /etc/hosts.allow.

/etc/hosts.equiv

Файл /etc/hosts.equiv используется для того, чтобы дать определенным пользователям с определенных машин доступ к вашей машине без пароля. Это может быть полезным в безопасной закрытой системе, в которой Вы контролируете все машины, в противном случае -- это очень опасный механизм с точки зрения безопасности. Ваша машина будет настолько же в безопасности, насколько в безопасности наименее защищенная из машин, перечисленных в файле /etc/hosts.equiv. Из соображений безопасности не используйте этот механизм, и кроме того, советуем Вам и всем пользователям Вашей машины отказаться от использования файла .rhosts

Правильная настройка демона ftp.

На многих сайтах есть необходимость в запуске анонимного ftp-сервера, который позволяет другим получать и загружать файлы без задания имени пользователя. Если Вы планируете обеспечить такой режим доступа к Вашей машине, убедитесь что вы правильно настроили демона ftp на анонимный доступ. man-страницы демона ftpd описывают такую настройку. Убедитесь, что Вы в точности следовали этим инструкциям. Важный момент, например, состоит в том, что не следует копировать файл /etc/passwd в директорию /etc, принадлежащую анонимному пользователю, убедитесь в том что вы убрали из этого файла все строки, кроме необходимых, иначе Вы подвергаете себя риску атаки с подбором пароля.

Сетевые файрволлы (брандмауэры).

Отличным средством обеспечения безопасности является запрет передачи некоторых типов пакетов с помощью файрволла, так что они не достигнут Вашей машины. Эта тема подробно рассмотрена в Firewall-HOWTO, и (в общих чертах) далее в этом документе.

Другие соображения.

Предложим несколько других соображений (почти религиозного плана) на Ваше рассмотрение:

Программа sendmail

несмотря на популярность программы sendmail, постоянно появляются сообщения о проблемах с безопасностью этой программы.

Сетевая файловая система NFS и другие сервисы, основанные на протоколе RPC:

Эти сервисы подвержены большому количеству возможных атак. Им трудно найти замену, и если уж Вы установили их, убедитесь в правильности назначения прав доступа.