Fagspesifikasjon. NAT44 adresseoversetting

Transkript

1 Fagspesifikasjon NAT44 adresseoversetting

2 UNINETT Fagspesifikasjon UFS nr: 144 Versjon: 1.0 Status: Under arbeid Dato: Juni 2014 Arbeidsgruppe: Campus-infrastruktur Forfattere: Svein Ove Undal, Tom Myren, Harald Terkelsen, Gunnar Bøe Ansvarlig: UNINETT Kategori: Anbefaling UNINETT Alle rettigheter forbeholdt. UNINETT står ansvarlig for innholdet i dette dokument. Arbeidet har blitt utført i en arbeidsgruppe innen < > ledet av UNINETT. Deler av denne rapporten kan fritt kopieres, uendret, gitt at opphavsretten overholdes og den opprinnelige kilden anerkjennes. 2

3 Innhaldsliste Samandrag 4 1 Bakgrunn 5 2 Anbefalt løysing Krav til virtuell maskin Nett-tildeling 6 3 Installasjon og konfigurasjon av NAT Nettverk for NAT44-gw Generell informasjon om installasjonen Installasjon av nat44 fra ''apt.uninett.no'' 8 4 Konfigurasjon av nat nat44-konfigurasjon Vidare konfigurering av nat Logging NTP 10 5 NAT44 failover med isc-dhcp-server Topologi for NAT44-failover Installasjon og konfigurasjon av isc-dhcp-server 12 6 Feilsøking av nat nat ipt-netflow Avansert feilsøking 14 7 Installere ipt-netflow fra source 15 Definisjonar 16 3

4 Samandrag Innan UH-sektoren har det inntil nyleg vore god tilgang på IPv4 adressar. Nå er også UH-sektoren i ferd å gå tom for adressar. Vi vil derfor komme med ei anbefaling om korleis bruk av adresseoversetting (NAT) kan gjerast på ein enkel, men effektiv måte. Vi anbefalar å nytte ein linux-server til NAT44. Det har vist seg at ein virtuell-server fint er i stand til å vere NAT44-gw for eit /20-nett (~4000 klientar) Eit viktig aspekt i forhold til sikkerheit er at det fortsatt skal vera sporbarhet på klientar som er på nett. Til dette brukast logging via Netflow/IPFIX. Vi forventar at organisasjonar så snart som mulig tar i bruk IPv6 og derfor er det også teke med informasjon om korleis NAT44 kan brukast saman med IPv6. 4

5 1 Bakgrunn NAT har vore tilgjengeleg i lang tid, både som ein integrert funksjon på ruterar eller som på eigen dedikert maskinvare. Med IPv6 har det no kome fleire versjonar av NAT som NAT64 og NAT46. Adresseoversetting mellom ulike IPv4-adressar omtalast no difor som NAT44. IPv6 bør ein ta i bruk i størst mulig grad for å få mest mulig trafikk dit, det vil redusere trafikkbelastning på NAT44-gw. NAT44 blir anbefalt brukt i tillegg om ein på grunn av mangel på offentlege IPv4-adresser må bruke private adresser frå eit eller fleire av følgjande RFC1918-prefiks: * /8 ( ) * /12 ( ) * /16 ( ) Det er viktig å ikkje tildele for stort RFC1918-nett til 1 offentleg adresse, slik at det ikkje oppstår portmangel. I vår modell bruker vi 1 offentleg adresse per C-nett (/24). UNINETT har undersøkt og testa litt forskjelleg i forhold til NAT44. Bruk av ein dedikert ruter med NAT-støtte kan vere ei løysing, men dei er ofte dyre, samt at logging har vist seg å vere utfordrande for CPU-bruk. 2 Anbefalt løysing Vår løysing er basert på ein debian installasjon på ein virtuell maskin. Her brukar den iptables til NAT44 og ein netflow-modul til å logge data. Av omsyn til sikkerheit og drift vil vi anbefale å bruke debian. 2.1 Krav til virtuell maskin Den virtuelle maskina bør ha 2 Gigabyte RAM, CPU med 2-4 cores, tilgang til 30 Gigabyte med lagring og 2 nettverks-kort. Vi anbefalar at loggdata vert sendt til ein annan maskin via netflow-modulen. Det er også mulig å lagre loggdata lokalt. Nettverket bør ikkje overstige eit /20-nett, om det er større blir det for mykje broadcast-trafikk. Ved større nett er det betre å kjøre fleire instansar av NAT44-løysinga. Merk at det virtuelle nettverkskortet e1000 som blir brukt i eldre versjonar av vmware kan by på ytelsesproblem ved svært stor nettrafikk. Anbefalt virtuelt nettverkskort er vmxnet3 eller nyare. NAT44-løysinga kan køyre på både virtuell og på fysisk hardware. Sjølv om ein fysisk server teoretisk vil kunne gi betre nettflyt og utnytting av hardware, så viser testar at det er liten forskjell mellom dei to alternativa. 5

6 2.2 Nett-tildeling NAT44-delen av løysinga er SNAT 1 (Source NAT) med 1 offentleg IPv4-adresse per C-nett (/24). Derfor trengst det 4 offentlege IPv4-adresser dersom du skal brukte NAT på eit nett med ca klientar (/22). Her er eit eksempel: /24 -> /24 -> /24 -> /24 ->

7 3 Installasjon og konfigurasjon av NAT44 Løysinga finn du på software.uninett.no sitt apt-repo og som eit vmware-image. Den er lagd for å vere rask og enkel. Det krevst ikkje ingen store eller spesielle linux-kunnskapar for å sette det i drift (sjå neste kapittel). Drift av løysinga vil vere minimal, som ein vanleg Linux-server med oppdatering av operativsystem og eventuell backup av konfigurasjon. 3.1 Nettverk for NAT44-gw NAT44-gw krev 2 nettverkskort, eth0 tilkopla eit VLAN med både private IPv4-adressar (RFC 1918) via DHCP, der NAT44-gw er ruterutgang (gateway), og eth1 tilkopla eit VLAN med offentlege ruta IPv4-adressar. 1.figur Nettverk for NAT44-gw Fordelen med å gjere det på denne måten er at all IPv6-trafikk går direkte til kjernesvitsj og ikkje via NAT44-gw, dermed blir det mindre last og loggdata på NAT44-gw. Samtidig får ein redundans med å separere NAT44-gw og IPv6-gw, om ein også nyttar NAT64. 7

8 3.2 Generell informasjon om installasjonen Denne vegvisaren går ut fra at det allereie er installert Debian 7 på maskina som er tiltenkt å vere NAT44-gw. Det skal vere nettilgang på nettverks-interface eth0 som ligg på eit offentleg nett. All installasjon går via shell-grensesnittet til Linux, det er tatt utgangspunkt i at du har ein ny installasjon av Debian 7 uten grafisk grensesnitt. Ein "#" definerer eit shell som root, "$" er eit shell som vanleg brukar. Det meste av konfigurering krev ein superbrukar (root) og det oppnår du med å skrive shell-kommandoen Eller $ su root (rotpassord) $ sudo -s (eige passord) Då vil $ blir endra til # i din terminal; det betyr att du no er logga inn som root. 3.3 Installasjon av nat44 fra ''apt.uninett.no'' Som eit alternativ til prosedyren under ligg det eit vmware-image på ftp://ftp.uninett.no/pub/network/nat44/. Denne er installert med Debian 7 og programpakkene nat44 og ntp. Om du gjer bruk av dette imaget, kan du gå rett til kapittel 4 om konfigurasjon. Legg til uninett som apt repository. # echo ''deb wheezy nat'' >> /etc/apt/sources.list Legg til nøkkel: # wget apt-key add uninett_apt.key; rm uninett_apt.key Oppdater apt: # apt-get update Installer NAT44: # apt-get install nat44 ipt-netflow Då skal alt være ferdig installert, og du er klar for å konfigurere NAT44-gw. Dette vil også kunne fungere på andre Debian-baserte distrubusjonar, f.eks. Ubuntu, med same framgangsmåte, med eitt unntak: ikkje installer ipt-netflow, i staden vil nat44 (ved køyring) laste ned og kompilere ipt-netflow til nat44. Alt vil være automatisert, men ver merksam på att køyringa vil kunne ta litt ekstra tid. Merk at det er omsynet til sikkerheit og drift vil vi anbefale å bruke debian. 8

9 4 Konfigurasjon av nat nat44-konfigurasjon Denne delen vil konfigurere ditt nettverk for NAT44. Her er ei kort forklaring på dei ulike innstillingane. Fila som du gjer endringar i er /etc/nat44/nat44.conf, du kan redigere fila med for eksempel nano. # nano /etc/nat44/nat44.conf internal-if = eth1 intern-if er det interne nettverks-interface. Det er dette interfacet som skal vere gateway for dine klientar. external-if = eth0 Eksternt interface, det er dette interface som skal vere tilknytt internett. admin-address = nnn.nnn.nnn.nnn # (for eksempel ) Det er den eksterne offentlege nett-adressa til din NAT44-gw. internal-network = /22 Dette er intern-nettet, det er ikkje anbefalt større nett enn /20 (~4000 klientar) internal-gw = Det blir adressa på det interne interface «internal-if», gateway for dine klientar. external-network = nnn.nnn.nnn.nnn/nn # (for eksempel /24) Her definerer du det eksterne nettverket. exteral-addresses = Dette er dei eksterne adressene vi bruker til å oversette frå internett du trenger 1 offentleg ip-adresse per /24 (~254) klientar; det betyr att du må ha 4 offentlege adressar på eit /22 internt nettverk. Merk att admin-adressa godt kan stå i lista over eksterne adresser òg. default-gateway = Gatewayen fra serveren til nettet dns = DNS, viktig å endre dns til dine eigne dns-serverar. log = netflow IPT-netflow-modul for logging. Sett til «None» dersom du av heilt spesielle grunnar ikkje skal ha logging. log_ip = Adressa du sender logg til. Om det står vil den installere flow-tools og lage ei mappe i /var/flow/self/, med flow-data. 9

10 log_port = 2055 Port du sender loggdata til. Det er ein stor fordel å få din flow-logg inn på ein sentral loggserver. For å bruke ein slik set du log_ip til IPadressa til serveren og log_port til porten denne lyttar på. Kontroller at denne porten ikkje er blokkert i brannmur eller ruterfilter. Når dette er konfigurert er du klar for å køyre nat Vidare konfigurering av nat44 Køyr koden (skriptet) som setter opp alt saman: # nat44 Det er viktig att du køyrer denne koden som superbrukar (med sudo eller som root). Ver også obs på att det er ein del testar i koden som vil stoppe køyring dersom det er logiske feil i din nettverkskonfigurasjon. Når den er ferdig vil den ha laga følgjande filer: /etc/nat44/ipt.conf (iptables skript) /etc/networking/if-up.d/network (nettverksfil med instillingar bassert på /etc/nat44.conf) /etc/resolv.conf (overskriver den her med instillingar i nat44.conf) /etc/networking/interfaces (enno ikkje i bruk; vil etter kvart ta over funksjonar frå filene over) Etter køyringa vil, om alt har godt bra, adresseoversetting med logging fungere. 4.3 Logging Det er anbefalt å ta inn NAT-loggen på din sentrale loggserver, det gir betre kontroll og oversikt over trafikken. Om du brukar standardinnstillingar som logger lokalt til din NAT44-gw, kan du vise flow-data med flow-print. # flow-print < /var/flows/self/2014/ / /ft-v vil du sjå noko tilsvarande: srcip dstip prot srcport dstport octets packets NTP Dersom ein skal spore opp ein klient via logg, er det veldig viktig at alt blir logga med rett tidspunkt. Klokka på NAT44-gw må vere heilt lik klokka på andre servere. For å få til dette nyttar vi NTP, (Network Time Protocol) den synkroniserer klokka til NAT44-gw med ein eller fleire valte NTP-servere. 10

11 Installer NTP med apt-get install: # apt-get install ntp Rediger fil /etc/ntp.conf med vi eller nano # nano /etc/ntp.conf Finn fram til der det står noko tilsvarande som: server 0.debian.pool.ntp.org iburst server 1.debian.pool.ntp.org iburst server 2.debian.pool.ntp.org iburst server 3.debian.pool.ntp.org iburst Fjern debian.pool.ntp.org serverane, legg så til dine vanlege NTP servere eller bruk UNINETT sine: server ntp1.uninett.no server oliven.uninett.no Lagre så fila (ctrl+x, y, enter). Gi deretter kommando som trengst for at ntp laster nye NTP servere: Test NTP: # dpkg-reconfigure ntp # ntpq -p Om du ser ein output som viser oliven.uninett.no og ntp1.uninett.no NTP info så fungerer det. 5 NAT44 failover med isc-dhcp-server Det er mange som har mangel på offentlege IP-adressar i periodar og ikkje har nok adressar i sin DHCP-pool. For å ta hand om dette, er det laga eit alternativ som kan dele ut RFC1918-adressar kun dersom det ikkje er fleire offentlege IP-adressar tilgjengeleg. Dette er mogleg om du brukar isc-dhcp-server. Den ligg på Debian sitt repository og installasjonen er forklart nedanfor. 5.1 Topologi for NAT44-failover Topologien for NAT44-failover blir veldig lik den toplologi som allereie er forklart. Du treng 2 VLAN med 1 offentleg IPv4-adresse som går til eth0 på NAT44-gw og eit nytt VLAN som skal innehalde IPv6 og offentleg IPv4-adressar 11

12 med default rute via kjernesvitsj og eit RFC1918 med route via NAT44-gw eth1. Det nye VLAN skal då ikkje ha ein eigen dhcp-server, men brukar den nå vert sett opp for NAT44, som forklart her. 2. figur NAT44 med eigen DHCP Det er fult mogleg å rute offentlege nett via NAT44, men det er ein meir kompleks konfigurasjon som ikkje blir dekt her. 5.2 Installasjon og konfigurasjon av isc-dhcp-server For å installere denne programvaren gir du følgende kommando (som root-brukar): # apt-get install isc-dhcp-server Rediger /etc/default/isc-dhcp-server, der det står INTERFACES="" endre dette til INTERFACES="eth1" Deretter endrar du /etc/dhcp/dhcpd.conf til å likne på konfigurasjonen under: ddns-update-style none; 12

13 option domain-name-servers , ; default-lease-time 300; #TIMEOUT TIME 5 min max-lease-time 480; #TIMEOUT TIME 8 min authoritative; log-facility local7; shared-network backupnat { subnet netmask { option routers ; } pool { range ; # Her skal du bruke dine offentlege IP adresser for NAT } subnet netmask { option routers ; } pool { range ; } } Her vil adresser bli delt ut frå første pool, når det er fullt vil den gå vidare til neste. Merk att det blir 2 subnet på same VLAN. Det vil fungere greitt, men her må du endre i forhold til ditt lokale oppsett. Det VLAN du brukar må ha tilgang til nat-gw og offentleg-gw. Start så isc-dhcp-server: # service isc-dhcp-server start 6 Feilsøking av nat44 Dei mest sannsynlege stader det kan oppstå problem er dekka i dette kapittelet. 6.1 nat44 Ved feil kan problemet ofte løysast ved å oppdatere systemet, for så å køyre nat44-koden igjen: # apt-get update; apt-get upgrade Sjekk deretter at innstillingar i /etc/nat44.conf stemmer med informasjon i kapittel 4.1 før man kjører # nat44 13

14 6.2 ipt-netflow Modulen skal startast opp automatisk av nat44, det blir også lagt til ipt_netflow i fila /etc/modules så modulen starter ved oppstart. Innstillingane til modulen ligg under /etc/modprobe.d/ipt_netflow.conf For å sjekke status på netflow-modul kan du skrive: # sysctl net.netflow Er det ingen output eller feilmelding, er modulen ikkje starta, eller ikkje installert. Den kan startast manuelt med # modprobe ipt_netflow Dersom dette ikkje gir noko feilmelding så er modulen starta. Då vil du få ut info fra sysctl kommando. Om du kjører nat44 vil skriptet prøve å fikse ipt-netflow, alternativet er å kompilere fra source. 6.3 Avansert feilsøking Det er ein del verktøy du kan bruke for å få meir oversikt, du kan for eksempel sjekke brannmur regler med # iptables -t nat -L Kommandoen vil vise reglar i NAT tabellen, du burde då sjå SNAT-regler med RFC1918-adresser som source, og ein offentleg adresse som då blir den oversette adressa. Du kan og sjå state table ved å skrive: # cat /etc/net/ip_conntrack Det vil vise aktive koplingar som går via NAT44-gw For å sjekke status resursbruk på NAT44-gw kan du bruke top. # top 14

15 7 Installere ipt-netflow fra source ipt-netflow kan også installerast separat. Det beste er å kompilera modulen frå source Alt må køyrast som superbrukar (som root eller med sudo) Først må du installere nødvendige pakkar. # apt-get install module-assistant conntrack iptables-dev pkg-config git Bruk module-assistant til å laste ned linux-source # m-a prepare deretter treng du source koden. # git clone configure, compile, install # cd ipt-netflow;./configure; make; make install Då kan ein teste # modprobe ipt_netflow Dersom det ikkje er feilmelding så gjekk det greitt. Ein kan då forsetje med konfigurering av nat44, som forklart tidlegare i dokumentet. 15

16 Definisjonar GSW NAT NTP SNAT VLAN Begrep som blir brukt om den ruter/svitsj som står på grensa av ditt nettverk Network Address Translation Network Time Protocol Source NAT Virtual Local Area Network 16

17 Adresse: 7465 Trondheim Sentralbord: E-post: Web: