Хант Крэйг. TCP/IP Сетевое администрирование

Подождите немного. Документ загружается.

142

Глава 5. Базовая настройка

данный способ - самый неудобный для перенастройки ядра, особенно ес-

ли требуется изменить лишь несколько значений.

make menuconfig

Данный вариант использует библиотеку

си

rses и предоставляет иерархию

меню, посредством которой осуществляется настройка. Здесь присутст-

вуют все возможности команды make

config,

и гораздо более удобный поль-

зовательский интерфейс, позволяющий переходить прямо к интересу-

ющим аспектам настройки. Команда make menuconfig работает на любом

терминале и в любой системе, даже в отсутствие поддержки X Windows.

make xconfig

Данный вариант основан на X Windows и предоставляет графический ин-

терфейс для настройки ядра. Функциональность та же, что и у предыду-

щих вариантов, а использовать make xconfig очень легко.

Выбирайте вариант, пришедшийся вам по душе. Для нашего примера мы

воспользуемся командой make xconfig.

В системе Linux исходный текст ядра хранится в иерархии /usr/src/linux.

Чтобы начать процесс настройки, следует перейти в каталог с исходным

текстом и выполнить команду make xconfig:

# cd /usr/src/linux

# make xconfig

По команде make xconfig отображается приложение, показанное на рис. 5.1.

Рис. 5.1. Главное меню xconfig в Linux

Меню содержит более 30 кнопок, представляющих различные категории на-

стройки. Нажмите на кнопку, чтобы просмотреть или изменить параметры

настройки в определенной категории. Для нас интерес представляют те па-

раметры настройки ядра, которые влияют на работу TCP/IP, то есть катего-

Настройка ядра

143

рии Networking options и Network device support. На рис. 5.2 показано окно,

отображаемое по нажатию на кнопку Network device support.

Ри,с. 5.2. Поддержка сетевых устройств в ядре Linux

В окне перечислены драйверы сетевых устройств, которые могут встраи-

ваться в ядро либо загружаться в виде модулей. Большинство параметров

настройки принимает одно из следующих значений:

у Выбор значения у приводит к встраиванию драйвера в ядро.

т Выбор значения т приводит к компиляции драйвера в модуль, динами-

чески загружаемый ядром. Не всегда драйвер доступен в виде загружае-

мого модуля. Если параметр настройки требует ответа «да» или «нет», ва-

риант с модулем недоступен. Обратите внимание на параметр FDDI driver

support. Выбор значения у для этого параметра включает поддержку

драйвера FDDI и делает доступным список интерфейсных карт FDDI, ко-

торые на рис. 5.2 отображены серым цветом. Часто, чтобы выбрать под-

держку определенного адаптера, следует прежде включить поддержку

интерфейса в целом.

п Выбор значения п предписывает ядру не использовать параметр настройки.

Каждому параметру настройки соответствует кнопка Help. Нажатие на кноп-

ку Help приводит к получению дополнительной информации по параметру и

сведений о том, в каких обстоятельствах его следует применять. Прежде чем

изменять стандартные значения, следует обращаться к встроенной справке,

даже если вы считаете, что полностью понимаете смысл параметров.

Два пункта на рис. 5.2, Ethernet (10 or 100 Mbit) и Ethernet (1000 Mbit), при-

водят к открытию самостоятельных окон с объемными меню - Linux поддер-

144

Глава 5. Базовая настройка

живает очень широкий спектр устройств Ethernet. Для карт Ethernet, до-

ступных в дополнительных окнах, действуют уже описанные значения па-

раметров y,mvin.

Окно Network device support и окна для карт Ethernet показывают, что под-

держка конкретных адаптеров может встраиваться в ядро, но это не обяза-

тельный вариант. Как мы видели в предшествующем разделе, посвященном

динамически загружаемым модулям, сетевые интерфейсы обычно управля-

ются загружаемыми модулями. Всем системам Linux нужны сетевые интер-

фейсы для работы с TCP/IP, но поддержку интерфейсов не обязательно

встраивать в ядро.

Выбор пункта Networking options из главного меню (см. рис. 5.1) приводит к

открытию окна Network options, которое содержит более 60 пунктов меню -

Linux поддерживает широкий спектр сетевых служб. Некоторые из служб

являются экспериментальными, а некоторые относятся к протоколам, от-

личным от IPv4. Здесь мы ограничимся рассмотрением параметров, которые

непосредственно относятся к IPv4. Тем не менее параметров все равно до-

вольно много. Вот они:

Packet socket

Данная служба позволяет приложениям общаться с сетевыми устройст-

вами напрямую. Это необходимо таким приложениям, как tcpdump, вы-

полняющим перехват и фильтрацию пакетов. При включенном параметре

Packet socket можно дополнительно выбрать Packet socket: mmapped Ю,

что позволит использовать ввод-вывод, отображаемый в память, для

службы пакетных сокетов. Служба пакетных сокетов, как правило,

включается, а поддержка отображаемого в память ввода-вывода остается

отключенной.

Kernel/User netlink socket

Данная служба обеспечивает взаимодействие ядра и пользовательских

приложений. Выбор данного параметра позволяет включить также пара-

метры Routing messages и Netlink device emulation. Сокеты Netlink позво-

ляют пользовательским приложениям взаимодействовать с маршрутиза-

цией IPv4, таблицами ARP и кодом брандмауэра ядра.

Network packet filtering

Данная служба реализует фильтрацию IP-пакетов, необходимую для по-

строения брандмауэра или сервера преобразования адресов. Включение

параметра Network packet filtering позволяет включить также параметр

Network packet filtering debugging. Фильтрация сетевых пакетов обычно

включается для маршрутизаторов и отключается для обычных узлов, хо-

тя она может использоваться для повышения защищенности сервера, как

описано в главе 12 (iptables).

TCP/IP networking

Выбор данного параметра приводит к встраиванию в ядро поддержки для

TCP/IP, то есть всех базовых транспортных протоколов TCP/IP и функцио-

Настройка ядра

145

нальности для работы с дейтаграммами. Включение параметра TCP/IP net-

working открывает доступ ко многим дополнительным службам TCP/IP:

IP: multicasting

Поддержка многоадресной передачи. Многоадресная передача описа-

на в главе 2.

IP: advanced router

Выбор этого пункта меню открывает доступ к ряду параметров, позволя-

ющих настроить ядро на работу со сложными протоколами маршрути-

зации. Поддержка сложной маршрутизации не требуется для маршру-

тизации в простейших случаях, в особенности для узлов и внутренних

маршрутизаторов небольших сетей. Сложная маршрутизация приме-

няется только в случаях, когда система Linux используется в качестве

основного маршрутизатора либо внешнего маршрутизатора, связую-

щего автономные системы. В главе 7 описано применение gated для ра-

боты со сложными протоколами маршрутизации в системах Unix. До-

полнительные параметры, доступные в этом разделе:

IP: policy routing включает поддержку правил маршрутизации на

уровне ядра, механизм, упоминаемый в главе 7 в связи с протоколом

маршрутизации BGP, а также в главе 2 в связи с базой данных правил

маршрутизации PRDB (Policy Routing Database). Присутствие этого

параметра не требуется для работы gated, поскольку gated реализует

поддержку правил маршрутизации на пользовательском уровне.

IP: equal cost multipath включает поддержку использования нескольких

маршрутов к одному пункту назначения. Многолучевая маршрутиза-

ция упоминается в главе 7 в связи с протоколом маршрутизации OSPF.

IP use TOS value as routing key включает переключение тегов с приме-

нением поля IP-заголовка Type of Service (TOS) для хранения тега. Поле

тега может использоваться как в OSPF, так и в RIP версии 2. В прило-

жении В затронут синтаксис

gated,

используемый для полей тегов.

IP: verbose route monitoring увеличивает число и длину сообщений, со-

провождающих обновления таблицы маршрутизации.

IP: large routing tables увеличивает объем памяти, отводимой под хра-

нение таблицы маршрутизации.

IP: kernel level autoconfiguration

Эта служба используется бездисковыми клиентами. Выбор этого пара-

метра открывает доступ к опциям IP: ВООТР support и IP: RAMP sup-

port, которые определяют источник информации настройки - ВООТР

или RARP. Описание протоколов ВООТР и RARP приводится в главе 3.

IP: tunneling

Данная служба инкапсулирует дейтаграммы IPv4 в туннели IP, что

позволяет узлу создавать видимость принадлежности к сети, в которую

он на самом деле физически не входит. Эта служба иногда использует-

ся на портативных компьютерах в целях обеспечения мобильности.

146

Глава 5. Базовая настройка

IP: GRE tunnels over IP

Включает поддержку протокола GRE (Generic Routing Encapsulation),

позволяющего передавать дейтаграммы IPv4 и IPv6 по туннелям IPv4.

Выбор этого параметра открывает доступ к параметру IP: broadcast

GRE over IP, обеспечивающему многоадресную передачу по туннелям.

GRE является предпочтительным протоколом инкапсуляции при ра-

боте с маршрутизаторами Cisco.

IP: multicast routing

Включает поддержку многоадресной маршрутизации. Параметр необ-

ходим только в случае, когда система выступает в роли многоадресно-

го маршрутизатора, то есть использует в работе mrouted. Выбор пара-

метра открывает доступ к параметрам IP: PIM-SM version 1 support и

IP: PIM-SM version 2 support, определяющим уровень применяемого в

системе протокола PIM-SM.

IP: TCP Explicit Congestion Notification support

Включает поддержку явных уведомлений о перегрузке (Explicit Con-

gestion Notification, ECN). Сообщения ECN передаются маршрутиза-

тором клиенту, чтобы уведомить о перегруженности. Параметр вклю-

чается только для Linux-систем, выступающих в качестве маршрути-

заторов. Поскольку многие брандмауэры несовместимы с ECN, не ре-

комендуется включать этот параметр в настройку.

IP: TCP syncookie support

Включает поддержку SYN-квитанций (cookies), которые применяются

для противодействия атаке SYN flooding (ее еще называют синхрони-

зирующей «Denial-Of-Service»-атакой или «лавинной» SYN-атакой).

IP: Net filter Configuration

Выбор этого пункта меню приводит к открытию окна, позволяющего

выбрать ряд служб для брандмауэра ядра Netfilter. В главе 12 описано

применение службы Netfilter посредством iptables.

QoS and I or fair queueing

Здесь представлены параметры, изменяющие способ обработки сетевых

пакетов сервером. Механизм является экспериментальным, так что для

рабочего сервера параметр должен иметь значение п. Администрирова-

ние дополнительных обработчиков пакетов требует присутствия специ-

ального программного обеспечения.

Завершив настройку сетевых параметров, наберите make dep; make clean, что-

бы создать зависимости и подготовить код к компиляции. Когда выполне-

ние команд завершится, скомпилируйте ядро. Команда make bzlmage создает

сжатое ядро и сохраняет его в каталоге /usr/src/linux/i386/boot.

Убедив-

В большинстве систем Linux используется упакованное ядро, которое подвергает-

ся автоматической распаковке при загрузке.

настройка ядра

147

шись, что новое ядро готово к работе, просто скопируйте файл ядра, bzlmage,

в файл vmlinuz, с которого начинается загрузка системы.

Перечень сетевых настроек Linux весьма объемен.

Linux - это инь для ян

Solaris: Linux позволяет системному администратору настраивать все, тогда

как Solaris настраивает все за администратора. Настройка ядра BSD нахо-

дится где-то между этими двумя крайностями.

Файл настройки ядра BSD

Как и в случае Linux, ядро BSD Unix является программой на языке С, ком-

пилируемой и устанавливаемой инструментом make. Команда config читает

файл настройки ядра и генерирует файлы (включая файл сборки, Makefile),

необходимые для компиляции и сборки ядра. В системе FreeBSD файл на-

стройки ядра расположен в каталоге /usr/src/sys/i386/conf.

Крупный файл настройки ядра GENERIC поставляется в составе системы

FreeBSD. Он настраивает все стандартные устройства системы, включая все

необходимое для работы TCP/IP. В этом разделе мы рассмотрим лишь те

элементы файла GENERIC, которые имеют отношение к TCP/IP. Работа ос-

новных служб TCP/IP не требует внесения изменений в ядро GENERIC.

11ричины изменения ядра BSD те же, что и для ядра Linux: получить ядро

меньшего размера и более эффективное либо добавить новые возможности.

Не существует стандартного имени для файла настройки ядра BSD. Созда-

ная файл настройки, выберите любое имя. По существующему соглашению,

имена файлов настройки ядра BSD состоят из заглавных букв. Чтобы соз-

дать новый файл, скопируйте файл GENERIC и отредактируйте результат.

Следующие команды создают новый файл настройки с именем FILBERT:

' Имя и местонахождение ядра не играют никакой роли, если загрузчик знает, где

его найти; кроме того, всегда рекомендуется сохранить возможность загрузки

старого ядра на случай неполадок с новым. - Примеч. науч. ред.

Перечень не просто объемный, он постоянно изменяется. Всегда сверяйтесь с до-

кументацией по системе, прежде чем начинать настройку ядра.

/usr/src/sys является символической ссылкой на /sys. Мы используем /usr/src/sys

только в качестве примера. В вашей системе это может быть совсем другой каталог.

Хороший источник информации по перекомпиляции ядра BSD - книга Грега Jle-

хи (Greg Lehey) «The Complete FreeBSD», издательство Walnut Creek CDROM.

Если ядро системы было изменено, в каталоге /usr/src/sys/i386/conf дол-

жен находиться новый файл настройки, созданный администратором. Файл

настройки ядра содержит многочисленные команды, охватывающие все ас-

пекты настройки системы. Здесь рассмотрены только параметры, непо-

средственно влияющие на работу TCP/IP. В поисках информации по другим

командам настройки обращайтесь к документации, поставляемой в составе

системы FreeBSD.

148

Глава 5. Базовая настройка

TCP/IP в ядре BSD

Для сетевого администратора больший интерес представляют операторы,

необходимые для настройки TCP/IP, а не глубокое понимание структуры

каждого из операторов. Для настройки TCP/IP в ядре BSD служат три типа

операторов: options, pseudo-device и device.

Оператор options

Оператор options предписывает включить в ядро определенный программ-

ный параметр. Наиболее важный для TCP/IP оператор options выглядит так:

В файле настройки ядра каждой BSD-системы, работающей с TCP/IP, при-

сутствует оператор options

INET.

Оператор приводит к созданию аргумента -

DINET для компилятора, и, как следствие, к встраиванию в ядро модулей IP,

ICMP, TCP, UDP и ARP. Один этот оператор включает в систему поддержку

основных транспортных служб и служб дейтаграмм IP. Никогда не удаляйте

этот оператор из файла настройки.

Данный параметр ограничивает использование ICMP-сообщениями об ошиб-

ках пропускающей полосы канала. Используйте этот параметр для защиты

системы от атак, основанных на перегрузке сети сообщениями об ошибках.

Последний параметр предотвращает зависание соединений между системами

BSD 4.3 и FreeBSD, настраивая FreeBSD на игнорирование ошибок BSD 4.3.

Кроме того, установка этого параметра позволяет избежать некорректной ра-

боты отдельных приложений. Учитывая все сказанное, имеет смысл оставить

параметр в таком виде.

Оператор pseudo-device

Второй тип оператора, необходимый для настройки TCP/IP во всех вариан-

тах BSD, - оператор pseudo-device. Псевдоустройство - это драйвер устрой-

ства, не связанный напрямую с реально существующим устройством. Опера-

тор pseudo-device создает заголовочный файл (.Л) с именем псевдоустройства

в каталоге ядра. К примеру, следующий оператор приведет к созданию фай-

ла loop.h:

Псевдоустройство loop необходимо для создания кольцевого устройства 1о0.

Это устройство связано с кольцевым адресом 127.0.0.1; оно определено в ка-

честве псевдоустройства потому, что в действительности устройством не яв-

ляется.

Настройка ядра

149

Другое псевдоустройство, применяемое во многих системах TCP/IP FreeBSD:

pseudo-device ether # basic Ethernet support

Этот оператор необходим для поддержки устройств Ethernet. Полноценная

поддержка ARP и других специальных функций Ethernet основана на псев-

доустройстве ether. И хотя данный оператор может оказаться ненужным в

случае системы, не имеющей интерфейсов Ethernet, обычно он присутствует

в числе прочих настроек ядра.

Дополнительные распространенные псевдоустройства TCP/IP выполняют

поддержку SLIP и РРР.

pseudo-device si 2 # Serial Line IP

Приведенный оператор определяет интерфейс для протокола SLIP (Serial Li-

tie IP). Число 2 в данном примере задает количество псевдоустройств SLIP,

создаваемых ядром. Два созданных устройства получат имена slO и sll.

pseudo-device ррр 2 # Point-to-point protocol

Псевдоустройство ррр служит интерфейсом для протокола Point-to-Point.

Число 2 в данном примере задает количество псевдоустройств РРР, создава-

емых ядром. Два созданных устройства получат имена рррО и pppl. И еще

одно псевдоустройство, непосредственно связанное с РРР.

pseudo-device tun 1 # Tunnel driver(user process ррр)

Псевдоустройство tun - это туннельный драйвер, используемый прикладны-

ми программами РРР. Туннелирование - это передача данных одного прото-

кола посредством другого; tun в системе FreeBSD позволяет выполнять ту-

неллирование по соединениям РРР. Число 1 в данном примере определяет

количество туннелей, поддерживаемых ядром.

Следующее псевдоустройство служит для отладки и тестирования.

pseudo-device bpfilter 4 # Berkeley packet filter

Оператор bpfilter добавляет функциональность, необходимую для перехвата

пакетов. Перехват пакетов - жизненная необходимость для анализаторов

протоколов, таких как tcpdump (см. главу 13). Когда оператор bpfilter вклю-

чается в ядро BSD, интерфейсы Ethernet получают возможность работать в

беспорядочном режиме (promiscuous mode).

Интерфейс, работающий в бес-

порядочном режиме, передает все пакеты (а не только адресованные локаль-

ной системе) программам, расположенным уровнем выше. Эта возможность

полезна для системных администраторов, занятых отладкой сети, но может

использоваться и злоумышленниками для перехвата паролей и нарушения

защиты системы. Используйте псевдоустройство bpfilter только по необхо-

Предполагается, что устройство Ethernet способно функционировать в беспоря-

дочном режиме. Не все карты Ethernet поддерживают эту возможность.

150 Глава 5. Базовая настройка

димости. Число 4 в данном примере определяет максимальное число интер-

фейсов Ethernet, которые могут находиться под наблюдением bpfilter.

Оператор device

Реально существующие устройства описываются при помощи оператора de-

vice. Каждый узел, подключенный к сети TCP/IP, должен иметь физическое

аппаратное обеспечение, реализующее подключение. Это аппаратное обеспе-

чение объявляется оператором device в файле настройки ядра. Существует

большое число сетевых интерфейсов для работы с TCP/IP, но самое широкое

распространение получили интерфейсы Ethernet. Вот операторы device ин-

терфейсов Ethernet, определенные для ядра GENERIC:

Оператор device, позволяющий выполнять настройку интерфейса Ethernet в

ядре FreeBSD, существует в двух основных формах:

device edO at isa? port 0x280 net irq 10 iomem 0xd8000

device deO

Формат варьируется в зависимости от типа устройства - ISA или PCI. Опера-

тор device для устройства edO определяет тип шины (isa), базовый адрес вво-

да-вывода (port 0x280), номер прерывания (irq 10) и адрес в памяти (iomem

0xd8000). Эти значения должны соответствовать установленным на карте

интерфейса и являются стандартными для настройки ISA-устройств. С дру-

гой стороны, оператор device для устройства deO практически не требует на-

Загрузочные файлы

151

стройки, поскольку речь идет о карте, подключенной через шину PCI. Шина

PCI достаточно разумна и позволяет получать настройки непосредственно от

установленных устройств.

Ethernet - не единственный сетевой интерфейс TCP/IP, с которым способна

работать система FreeBSD. Поддерживается и ряд других интерфейсов. Ин-

терфейсы последовательных линий необходимы для работы SLIP и РРР:

device sioO at isa? port I0_C0M1 flags 0x10 irq 4

device siol at isa? port I0_C0M2 irq 3

device sio2 at isa? disable port I0_C0M3 irq 5

device sio3 at isa? disable port I0_C0M4 irq 9

Четыре последовательных интерфейса, от sioO до sio3, соответствуют интер-

фейсам MS-DOS от СОМ1 до COM4. Они нужны для работы по протоколам

SLIP и РРР. В главе 6 рассмотрены прочие аспекты настройки РРР.

Оператор device изменяется от интерфейса к интерфейсу. Но как опреде-

лить, какие аппаратные интерфейсы установлены в системе? Вспомните,

что ядро GENERIC, поставляемое в составе системы FreeBSD, настроено на

поддержку широкого спектра устройств. Простейший способ определить,

какие аппаратные интерфейсы установлены в системе, - взглянуть на сооб-

щения, отображаемые в процессе загрузки на консоли. Эти сообщения пере-

числяют все устройства, включая и сетевые, обнаруженные ядром при ини-

циализации. Взгляните на вывод команды dmesg, которая повторяет сообще-

ния, созданные в процессе последней загрузки. Чаще всего оказывается, что

редактирование настроек ядра сводится к удалению поддержки ненужных и

несуществующих устройств.

Операторы файла настройки options, pseudo-device и device предписывают

системе включить в ядро поддержку определенных устройств и программ

TCP/IP. Операторы вашего файла могут отличаться от тех, что мы видели в

примерах, но основной их набор будет таким же. Этот базовый набор позво-

ляет подготовить FreeBSD Unix к работе с TCP/IP.

Возможно, вам никогда не придется изменять переменные, о которых шла

речь в этом разделе. Как и все прочие элементы файла настройки ядра, эти

переменные по умолчанию имеют разумные значения, позволяющие кор-

ректно работать с TCP/IP. Однако вам часто придется принимать участие в

управлении сетевыми службами, которые реализуются посредством TCP/IP.

Мы переходим к тому, как запускать сетевые службы и управлять тем, ка-

кие из них запускаются.

Загрузочные файлы

Настройка ядра позволяет интегрировать в Unix основные транспортные

службы и службы дейтаграмм IP. Но семейство протоколов TCP/IP вовсе не

ограничивается базовыми службами. Каким же образом прочие протоколы

настраиваются в среде Unix?