Концепции SNMP версии 3

Перевод: SNMP Version 3 Concepts
Автор: msinadinovic

SNMP версии 3 предоставляет три значительных новых улучшения в безопасности по сравнению с предыдущими версиями протокола. Это:

1. Своевременность
2. Аутентификация
3. Конфиденциальность

Перед тем как рассмотреть, что они собой представляют, нужно пояснить один термин. Авторитетный агент SNMP - это агент, который поддерживает информацию, используемую для обеспечения своевременности, аутентификации и конфиденциальности. В большинстве случаев агент SNMP - это агент, содержащий информацию, которую запрашивают станции управления. Единственное исключение - это отправка агентом уведомлений Inform. В таких случаях станция управления выступает авторитетным агентом и поддерживает информацию SNMP, используемую для обеспечения перечисленных выше средств безопасности.

Своевременность - это возможность, позволяющая авторитетному агенту SNMP проверить, что информация поступила своевременно и что она не была перехвачена, сохранена и передана повторно по истечении приемлемого окна времени с момента её отправки.

Это может звучать сложно, но на самом деле это не так. Для этого используются два значения из пакета SNMP версии 3. Они называются engine boots - количество загрузок агента и engine time - время, прошедшее с последней загрузки агента.

Количество загрузок агента - это количество раз, которое авторитетный агент SNMP был запущен, загружен, выполнен, инициализирован или перешёл в любое другое состояние, которое соответствует смыслу слова "загружен". Время, прошедшее с последней загрузки - это количество секунд, прошедшее с того момента, когда авторитетный агент SNMP перешёл в состояние "загружен". Эти два значения совместно используются для проверки своевременности.

Проверка своевременности производится сравнением количества загрузок агента из пакета с сохранённым значением авторитетного агента SNMP и сравнением времени, прошедшего с последней загрузки, которое должно отличаться не более чем на 150 секунд от значения авторитетного агента SNMP. Другими словами, если количество загрузок агента в полученном пакете не равно сохранённому локально значению, авторитетный агент SNMP отклонит пакет.

Аутентификация - это метод проверки, позволяющий получателю удостовериться, что пакет не был изменён в процессе передачи. Это делается путём расчёта хэша всего пакета и (в сочетании с секретным паролем, известным агенту и станции управления, участвующим в обмене) гарантирует, что только авторизованные стороны могут изменить пакет.

Конфиденциальность - это шифрование части данных пакета SNMP. Часть данных - это Protocol Data Unit в пакете SNMP. Шифрование проводится с использованием секрета (пароля), который известен агенту и станции управления.

Поскольку авторитетный агент SNMP использует информацию для обеспечения своевременности, аутентификации и конфиденциальности, должен быть способ получить эти значения не авторитетным агентам. Этот процесс называется процессом обнаружения.

Перед выполнением запросов SNMP к авторитетному агенту SNMP, нужно отправить к нему пакет обнаружения (обычно это пустой пакет SNMP версии 3) и подождать ответного сообщения REPORT. Полученное сообщение REPORT будет содержать следующие значения: engine ID - идентификатор авторитетного агента SNMP, engine boots - количество загрузок агента SNMP и engine time - время, прошедшее с последней загрузки. Эти значения нужно будет использовать в последующих запросах.

Заполучив информацию авторитетного агента SNMP, можно начать отправлять запросы в соответствии с настройками аутентификации и конфиденциальности, которые использует запрашиваемый агент.

Теперь немого подробностей о реализации SNMP версии 3 в SnmpSharpNet. Вся функциональность собрана в классе SnmpV3Packet. Этот класс позволяет выбрать нужный уровень безопасности, алгоритм аутентификации и значение секрета, протокол шифрования и значение секрета, имя пользователя и т.п. Чтобы узнать, какие алгоритмы проверки подлинности поддерживаются в библиотеке используемой вами версии, обратитесь к перечисляемому типу SecurityDigests, в котором перечислены поддерживаемые алгоритмы аутентификации. Чтобы найти поддерживаемые протоколы шифрования, обратитесь к перечисляемому типу PrivacyProtocols.

За примерами использования SNMPv3 обратитесь к веб-сайту проекта.

Установка и настройка Open vSwitch в Debian

В прошлой заметке я создал виртуальную машину с AltLinux, которая работает под управлением Xen. Там сетевой интерфейс виртуальной машины соединяется мостом с интерфейсом хост-машины (или вернее - домена-0).

Такой способ настройки может оказаться не безопасным, если на интерфейсе имеется несколько VLAN, часть которых не должны быть доступны внутри виртуальной машины. В качестве примеров можно привести случай предоставления Xen-хостинга или попытку отделить друг от друга виртуальные машины, работающие в локальной сети и в интернете. Например, через VLAN 2 может быть доступна локальная сеть, а через VLAN 3 - сеть интернет. При том способе настройки, который был описан в прошлой статье, хозяин виртуальной машины, которая должна работать только в локальной сети, может настроить внутри виртуалки VLAN-интерфейс для доступа в интернет, прослушать трафик, попытаться подобрать свободный IP-адрес и получить таким образом доступ в интернет. Или другой пример - злоумышленник может получить доступ к виртуальной машине, доступной из сети интернет, настроить VLAN-интерфейс и продолжить взлом уже внутри локальной сети.

Чтобы ограничить передаваемые в виртуальную машину VLAN, рассмотрим использование виртуального коммутатора Open vSwitch.

1. Установка Open vSwitch

Для установки виртуального коммутатора, нужно установить в систему всего-лишь один пакет:

# apt-get install openvswitch-switch

2. Настройка виртуального коммутатора средствами Debian

В составе пакета имеются скрипты для настройки коммутатора привычными для Debian средствами, через файл /etc/network/interfaces. Почитать о настройке можно в файле /usr/share/doc/openvswitch-switch/README.Debian.gz, открыв его, например, при помощи zless, или в статье Boot integration of the Openvswitch in Ubuntu. Благодаря Open vSwitch, я смог избавиться от интерфейсов vlan и br, настроенных стандартными средствами Linux, и заменил их на функционально эквивалентные им интерфейсы Open vSwitch:

auto ovs0
allow-ovs ovs0
iface ovs0 inet manual
  ovs_type OVSBridge
  ovs_ports eth0 ovs0-vlan2 ovs0-vlan3 ovs0-vlan4

allow-ovs0 eth0
iface eth0 inet manual
  ovs_type OVSPort
  ovs_bridge ovs0
  ovs_options vlan_mode=native-untagged tag=2 trunks=2,3,4

allow-ovs0 ovs0-vlan2
iface ovs0-vlan2 inet static
  ovs_bridge ovs0
  ovs_type OVSIntPort
  ovs_options tag=2
  address 169.254.254.1
  netmask 255.255.255.0
  
allow-ovs0 ovs0-vlan3
iface ovs0-vlan3 inet dhcp
  ovs_bridge ovs0
  ovs_type OVSIntPort
  ovs_options tag=3

allow-ovs0 ovs0-vlan4
iface ovs0-vlan4 inet static
  ovs_bridge ovs0
  ovs_type OVSIntPort
  ovs_options tag=4
  address 0.0.0.0
  netmask 255.255.255.0

Интерфейс ovs0 соответствует созданию одного виртуального коммутатора. При необходимости их можно создать несколько. В этот коммутатор подключается порт eth0, по которому могут передаваться тегированные пакеты для VLAN 3 и 4, а не тегированный трафик помечается как принадлежащий VLAN 2. Следующие три интерфейса соответствуют этим трём VLAN'ам.

Если через интерфейсы, принадлежащие Open vSwitch, устанавливаются другие подключения, вроде pppoe или pptp, то эти интерфейсы можно упомянуть в опции ovs_ports после используемого им интерфейса. Далее останется только удалить опцию auto и добавить вместо неё опцию allow-ovs0 для того, чтобы поднятие этого интерфейса происходило уже по команде от демона Open vSwitch. Интерфейсы поднимаются демоном в том порядке, в котором они указаны в опции ovs_ports.

3. Ручная настройка виртуального коммутатора

Для ручной настройки всего этого хозяйства сгодились бы следующие команды:

# ovs-vsctl add-br ovs0
# ovs-vsctl add-port ovs0 eth0
# ovs-vsctl set port eth0 vlan_mode=native-untagged tag=2 trunks=2,3,4
# ovs-vsctl add-port ovs0 ovs0-vlan2 tag=2 -- set Interface ovs0-vlan2 type=internal
# ifconfig ovs0-vlan2 inet 169.254.254.1/24 up
# ovs-vsctl add-port ovs0 ovs0-vlan3 tag=3 -- set Interface ovs0-vlan3 type=internal
# dhclient ovs0-vlan3
# ovs-vsctl add-port ovs0 ovs0-vlan4 tag=4 -- set Interface ovs0-vlan4 type=internal
# ifconfig ovs0-vlan4 up

Чтобы удалить порт из коммутатора, можно воспользоваться такой командой:

# ovs-vsctl del-port ovs0-vlan2

Чтобы удалить сам коммутатор, можно воспользоваться такой командой:

# ovs-vsctl del-br ovs0

Посмотреть на текущие настройки виртуального коммутатора можно командой, которая уже была продемонстрирована выше:

# ova-vsctl show

Стоит также отметить, что имена коммутаторов и портов могут быть совершенно произвольными. Названия ovs0 и ovs0-vlan2 и т.п. были даны лишь для наглядности. При этом, название интерфейса eth0 соответствует реальному интерфейсу, который нужно подключить к порту виртуального коммутатора, поэтому он фигурирует под своим настоящим именем.

Описанное выше - лишь очень малая часть того, что умеет этот виртуальный коммутатор. Он поддерживает агрегацию портов, обнаружение петель, зеркалирование портов, сбор статистики о трафике на NetFlow-коллектор и многие другие вещи. Поддерживается даже специальный протокол OpenFlow, предназначенный для централизованного управления такими коммутаторами. Я же тут ограничился самыми простыми вещами, которые мне понадобились лишь для того, чтобы передать вовнутрь виртуальной машины под управлением Xen строго определённые VLAN.

Сама коммутация пакетов происходит на уровне ядра, что обеспечивает максимальную производительность, но поддерживается и коммутация в пользовательском пространстве. В таком случае из-за частых переключений между режимами ядра и пользователя производительность должна оказаться уже не столь высокой.

Вот так, например, можно убедиться в том, что по крайней мере некоторая часть openvswitch работает в пространстве ядра:

# lsmod | grep vs
openvswitch            63932  0 
gre                    12777  1 openvswitch
vxlan                  35053  1 openvswitch
libcrc32c              12426  1 openvswitch

5. Виртуальный коммутатор и Xen

Для того, чтобы включить в виртуальный коммутатор интерфейс виртуальной машины, работающей под управлением Xen, можно воспользоваться соответствующими настройками в файле конфигурации виртуальной машины. Например, вот фрагмент файла конфигурации /etc/xen/inet.cfg виртуальной машины inet:

vif = ['script=vif-openvswitch,bridge=ovs0.2']

Таким образом виртуальная машина будет включена в нетегированный порт коммутатора в VLAN 2.

Чтобы передать в виртуальную машину VLAN'ы 3 и 4 в тегированном режиме, можно воспользоваться следующим способом настройки:

vif = ['script=vif-openvswitch,bridge=ovs0:3:4']

О других возможностях настройки сети в виртуальных машинах Xen можно почитать здесь: Xen Networking

P.S. 25 июня 2016. Внесён ряд правок, связанных с автоматическим восстановлением настроек при перезагрузке.

Запуск AltLinux как domU в Xen

При помощи утилиты xen-create-image можно легко создавать виртуальные машины с любой операционной системой, поддержка которой присутствует в каталоге /usr/share/xen-tools/. Заинтересовал вопрос, как же можно создать виртуальную машину не из списка поддерживаемых? В качестве предмета для экспериментов я выбрал AltLinux. Статья делится на две части: подготовка образа для многократного дальнейшего использования и создание из этого образа одной виртуальной машины.

Сразу предупреждаю, что тут я в хвост и в гриву пользуюсь LVM. Во-первых, это удобно. Во-вторых, ну не зря же я мучился? У кого нет LVM, выпутывайтесь сами ;-P

1. Подготовка образа для последующего использования

Скачиваем один из образов из каталога http://ftp.altlinux.org/pub/distributions/ALTLinux/p7/images/starterkits/

Например, я взял altlinux-p7-vm-net-20160312-x86_64.img.xz:

$ cd /home/stupin
$ wget http://ftp.altlinux.org/pub/distributions/ALTLinux/p7/images/starterkits/altlinux-p7-vm-net-20160312-x86_64.img.xz

Распакуем его:

$ cd /home/stupin
$ 7z x altlinux-p7-vm-net-20160312-x86_64.img.xz

Получится файл с именем altlinux-p7-vm-net-20160312-x86_64.img размером 504 мегабайт.

Посмотрим при помощи утилиты file, что представляет собой этот файл:

# file /home/stupin/altlinux-p7-vm-net-20160312-x86_64.img
/home/stupin/altlinux-p7-vm-net-20160312-x86_64.img: DOS/MBR boot sector, LInux i386 boot LOader; partition 1 : ID=0x83, start-CHS (0x0,32,33), end-CHS (0x40,63,63), startsector 2048, 1030144 sectors

Это образ диска с таблицей разделов в стиле DOS.

Создадим логический том такого же размера, что и образ и скопируем в него этот файл посекторно:

# lvcreate -n image -L 528482304b stupin
# cd /home/stupin
# dd if=altlinux-p7-vm-net-20160312-x86_64.img of=/dev/mapper/stupin-image

Если при помощи fdisk посмотреть таблицу разделов в образе, то можно ещё раз убедиться в том, что в образе имеется таблица разделов DOS:

# fdisk -l /dev/mapper/stupin-image

Disk /dev/mapper/stupin-image: 504 MiB, 528482304 bytes, 1032192 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 4096 bytes
I/O size (minimum/optimal): 4096 bytes / 4096 bytes
Disklabel type: dos
Disk identifier: 0xd6c97625

Device                    Boot Start     End Sectors  Size Id Type
/dev/mapper/stupin-image1       2048 1032191 1030144  503M 83 Linux

Смонтируем файловую систему из первого раздела в каталог /mnt/root:

# partprobe
# mount /dev/mapper/stupin-image1 /mnt/root

Исправим файл etc/inittab, убрав оттуда две консоли и создав вместо них консоль, которая будет доступна из dom0:

1:2345:respawn:/sbin/mingetty hvc0
#1:2345:respawn:/sbin/mingetty --noclear tty1
#2:2345:respawn:/sbin/mingetty tty2

Также я отредактировал файл etc/fstab, прописав монтирование корневой файловой системы по имени устройства вместо монтирования по идентификатору:

/dev/xvda     /                       ext4    relatime                        1 1
#UUID=5b7c2d58-0afa-4bf4-9a42-542935636a05 / ext4 relatime 1 1

Чтобы в дальнейшем меньше пришлось вписывать в файл конфигурации виртуальной машины, создадим файл конфигурации для загрузчика pygrub. Для этого создадим каталог boot/grub:

# cd /mnt/root/boot
# mkdir grub

Внутри каталога создадим файл menu.lst со следующим содержимым:

default         0
timeout         2

title           AltLinux p7 x86_64
root            (hd0,0)
kernel          /boot/vmlinuz root=/dev/xvda ipv6.disable=1 ro
initrd          /boot/initrd.img

title           AltLinux p7 x86_64 (Single-User)
root            (hd0,0)
kernel          /boot/vmlinuz root=/dev/xvda ipv6.disable=1 ro single
initrd          /boot/initrd.img

Поменяем пароль по умолчанию у пользователя root:

# chroot /mnt/root
# passwd
# exit

Теперь создадим архив для последующего разворачивания новых виртуальных машин:

# cd /mnt/root
# tar cjvf /home/stupin/altlinux-p7-vm-net-20160312-x86_64.tbz *

Наконец, раздел можно отмонтировать и уничтожить:

# umount /mnt/root
# dd if=/dev/zero of=/dev/mapper/stupin-image
# partprobe
# lvremove /dev/mapper/stupin-image

2. Создание виртуальной машины

Создадим LVM-раздел для размещения корневого раздела будущей виртуальной машины:

# lvcreate -n inet-root -L 20G stupin

Создадим файловую систему:

# mkfs.ext4 /dev/stupin/inet-root

Смонтируем файловую систему:

# mount /dev/stupin/inet-root /mnt/inet/

И распакуем в неё подготовленный архив с системой:

# cd /mnt/inet/
# tar xjvf /home/stupin/altlinux-p7-vm-net-20160312-x86_64.tbz

Размонтируем корневую файловую систему будущей виртуальной машины:

# cd /
# umount /mnt/inet

Теперь создадим файл конфигурации виртуальной машины /etc/xen/inet.cfg:

bootloader = '/usr/lib/xen-4.4/bin/pygrub'
#kernel = '/boot/vmlinuz'
#ramdisk = '/boot/initrd.img'

name = 'inet'

vcpus = 1
memory = 1024

#root = '/dev/xvda ro'
disk = ['phy:/dev/stupin/inet-root,ioemu:xvda,w']
vif = ['script=vif-bridge,bridge=xenbr0']

on_poweroff = 'destroy'
on_reboot = 'restart'
on_crash = 'restart'
on_xend_start = 'ignore'
on_xend_stop = 'ignore'

Параметры kernel, ramdisk и root закомментированы, потому что внутри образа имеется файл /boot/grub/menu.lst, в котором прописано, в каком файле лежит образ ядра и образ минимального корневого диска, а также прописаны все параметры, передаваемые загрузчиком ядру. В том числе прописан параметр, настраивающий имя устройства, содержащей корневую файловую систему.