Ero sivun ”Verkkoliitynnät monipuolisemmin” versioiden välillä

Linux.fista
Siirry navigaatioon Siirry hakuun
(yhdyssanoja ym. pientä fixausta)
Rivi 1: Rivi 1:
Joskus tulee tarve lisätä varayhteyksiä tai varmistaa siirtoyhteyden kaistan riittävyys, mutta näiden toteuttamiseen ei ole yhtä suoraa ratkaisua.
Joskus tulee tarve lisätä varayhteyksiä tai varmistaa siirtoyhteyden kaistan riittävyys, mutta näiden toteuttamiseen ei ole yhtä suoraa ratkaisua.


=Monimutkaisemmat yhteysratkaisut=
==Monimutkaisemmat yhteysratkaisut==


Yritys voi ottaa käyttöönsä useamman operaattorin samanaikaisesti. Tällöin liikenne voidaan jakaa näiden operaattorien liittymiin, joko niin että toinen yhteys on passiivisena varalla, mikäli pääyhteys katkeaa, tai niin että molempia yhteyksiä käytetään samanaikaisesti ja tuplataan yhteyden kapasiteetti.
Yritys voi ottaa käyttöönsä useamman operaattorin samanaikaisesti. Tällöin liikenne voidaan jakaa näiden operaattorien liittymiin, joko niin että toinen yhteys on passiivisena varalla, mikäli pääyhteys katkeaa, tai niin että molempia yhteyksiä käytetään samanaikaisesti ja tuplataan yhteyden kapasiteetti.


==Yhteysnopeuden kasvattaminen ryhmittämällä==
===Yhteysnopeuden kasvattaminen ryhmittämällä===


[[Kernel|Kernelissä]] on tarjolla bonding tuki. Bonding ajurilla voidaan määrätä verkkokortteja "orjiksi" bond laitteelle. Yksinkertaisimmin, yritys voi ottaa samalta operaattorilta neljä 1Mbit/1Mbit ADSL liittymää ja kytkeä niiden päätelaitteet siltaaviksi. Reititinkoneena toimivaan linux koneeseen laitetaan 5 verkkokorttia, joista 4 kytketään päätelaitteisiin, ja yksi sisäverkkoon päin.
[[Kernel|Kernelissä]] on tarjolla [[wikipedia:en:Link aggregation|bonding]]-tuki. Bonding-ajurilla voidaan määrätä verkkokortteja "orjiksi" bond-laitteelle. Yksinkertaisimmin, yritys voi ottaa samalta operaattorilta neljä 1Mbit/1Mbit ADSL liittymää ja kytkeä niiden päätelaitteet siltaaviksi. Reititinkoneena toimivaan Linux-koneeseen laitetaan 5 verkkokorttia, joista 4 kytketään päätelaitteisiin, ja yksi sisäverkkoon päin.


Oletetaan että eth0->eth3 on kytketty ADSL-päätelaitteisiin.
Oletetaan että eth0->eth3 on kytketty ADSL-päätelaitteisiin.
Rivi 14: Rivi 14:
  modprobe bonding
  modprobe bonding


Mikäli bonding modulia ei löydy, valitse se mukaan configista ja käännä moduulit uudelleen (<tt>make modules modules_install</tt>).
Mikäli bonding-moduulia ei löydy, valitse se mukaan configista ja käännä moduulit uudelleen (<tt>make modules modules_install</tt>).
Alustetaan bond0 liittymä:
Alustetaan bond0 liittymä:


  ip link set dev bond0 up
  ip link set dev bond0 up


Verkkokortit määritetään bond0 laitteelle orjiksi:
Verkkokortit määritetään bond0-laitteelle orjiksi:


  ifenslave bond0 eth0 eth1 eth2 eth3  
  ifenslave bond0 eth0 eth1 eth2 eth3  


Nyt bond0 laitteelle voidaan hakea ip operaattorilta:
Nyt bond0-laitteelle voidaan hakea ip operaattorilta:
   
   
  dhcpcd bond0
  dhcpcd bond0
Rivi 32: Rivi 32:
tästä voi olla apua esim videoeditointisovelluksissa, tiedostopalvelimissa sekä muissa paljon kaistaa tarvitsevissa ratkaisuissa.
tästä voi olla apua esim videoeditointisovelluksissa, tiedostopalvelimissa sekä muissa paljon kaistaa tarvitsevissa ratkaisuissa.


==Varayhteydet==
===Varayhteydet===


Varayhteys voidaan toteuttaa joko reitityksillä tai bonding ajurilla.
Varayhteys voidaan toteuttaa joko reitityksillä tai bonding-ajurilla.


===Bonding===
====Bonding====


Varayhteyden toteuttaminen bondingilla on huomattavasti yksinkertaisempaa.
Varayhteyden toteuttaminen bondingilla on huomattavasti yksinkertaisempaa.
Jotta kerneli tunnistaisi rikkoutuneen linkin tulee käyttöön ladata myös modulit miimon, tai arp_interval ja arp_ip_target.
Jotta kerneli tunnistaisi rikkoutuneen linkin tulee käyttöön ladata myös moduulit miimon tai arp_interval ja arp_ip_target.
Bonding ajuri ladataan kerneliin, mutta toimintatila vaihdetaan kuormantasauksesta varalinkkiin:
Bonding-ajuri ladataan kerneliin, mutta toimintatila vaihdetaan kuormantasauksesta varalinkkiin:


  modprobe bonding mode=1 miimon=50
  modprobe bonding mode=1 miimon=50
Rivi 48: Rivi 48:
   
   


===Reititys===
====Reititys====


Mikäli varayhteys tulee toiselta operaattorilta, ja käytössä on palveluita ulospäin, on varayhteys toteutettava reitittämällä, ja tällöin yrityksellä tulee olla käytössä oma määritelty IP-blokki, ja reitityssopimukset kyseiselle AS-alueelle molemmilta operaattoreilta.
Mikäli varayhteys tulee toiselta operaattorilta, ja käytössä on palveluita ulospäin, on varayhteys toteutettava reitittämällä, ja tällöin yrityksellä tulee olla käytössä oma määritelty IP-blokki, ja reitityssopimukset kyseiselle AS-alueelle molemmilta operaattoreilta.


=Palvelunlaatu=
==Palvelunlaatu==


==QoS Ratkaisut==
===QoS-ratkaisut===


QoS ratkaisuilla pyritään takaamaan käyttäjien käyttöön aina määrätyn verran kaistaa.
QoS-ratkaisuilla pyritään takaamaan käyttäjien käyttöön aina määrätyn verran kaistaa.


===Wondershaper===
====Wondershaper====


[http://lartc.org/wondershaper/ Wondershaper] on yksi parhaista QoS ohjelmistoista linuxille. Sen tavoitteena on saada asymmetriset linkit, kuten kaapelimodeemit ja ADSL, toimimaan pienellä latenssilla käytettäessä SSH, WWW, tai telnet protokollia, vaikka yhteydessä olisikin muuta kaistaa aktiivisesti varaavaa liikennettä.
[http://lartc.org/wondershaper/ Wondershaper] on yksi parhaista QoS-ohjelmistoista Linuxille. Sen tavoitteena on saada asymmetriset linkit, kuten kaapelimodeemit ja ADSL, toimimaan pienellä latenssilla käytettäessä SSH-, WWW-, tai telnet-protokollia, vaikka yhteydessä olisikin muuta kaistaa aktiivisesti varaavaa liikennettä.


===Iproute2===
====Iproute2====


[http://lartc.org/howto/index.html Iproute2 manuaali]
[http://lartc.org/howto/index.html Iproute2-ohje]


=VPN Yhteydet=
==VPN-yhteydet==


VPN yhteyttä käytetään normaalisti kun yrityksellä on kaksi erillistä toimipistettä, ja niiden välillä ei ole kiinteää datayhteyttä. On kuitenkin tarve vaihtaa asiakirjoja ja muuta tietoa toimipisteiden välillä, joten olemassaolevien internet yhteyksien läpi voidaan rakentaa VPN-tunneli jolla eri toimistojen lähiverkot voidaan yhdistää samaksi verkoksi salatun tunnelin suojaamana.
VPN-yhteyttä käytetään normaalisti kun yrityksellä on kaksi erillistä toimipistettä, ja niiden välillä ei ole kiinteää datayhteyttä. On kuitenkin tarve vaihtaa asiakirjoja ja muuta tietoa toimipisteiden välillä, joten olemassaolevien internet yhteyksien läpi voidaan rakentaa VPN-tunneli jolla eri toimistojen lähiverkot voidaan yhdistää samaksi verkoksi salatun tunnelin suojaamana.


==Free S/WAN==
===Free S/WAN===


[http://www.freeswan.org/ Free S/WAN] on tällä hetkellä yleisimmin käytetty vpn-ratkaisu linux ympäristöissä.
[http://www.freeswan.org/ Free S/WAN] on tällä hetkellä yleisimmin käytetty vpn-ratkaisu Linux-ympäristöissä.


FreeS/WANin käyttöönotto vaatii kernelin uudelleenkääntämisen. Se voidaan kääntää joko staattisesti kerneliin tai kääntää moduliksi jolloin se voidaan ladata käyttöön tarvittaessa. Pluto on sovellus, jolla hoidetaan IKE neuvoittelu koneiden välillä.
FreeS/WANin käyttöönotto vaatii kernelin uudelleenkääntämisen. Se voidaan kääntää joko staattisesti kerneliin tai kääntää moduliksi jolloin se voidaan ladata käyttöön tarvittaessa. Pluto on sovellus, jolla hoidetaan IKE neuvoittelu koneiden välillä.
Rivi 82: Rivi 82:


Ipsec.conf jakautuu kahteen eri osaan, config ja conn.  
Ipsec.conf jakautuu kahteen eri osaan, config ja conn.  
Config osassa asetetaan IPSEC perusasetuksia, käytössä oleva verkkosovitin ja plutolle määriteltäviä asetuksia.
Config-osassa asetetaan IPSEC perusasetuksia, käytössä oleva verkkosovitin ja plutolle määriteltäviä asetuksia.
Conn %default osassa määritellään kaikille yhteyksille käytettäviä asetuksia kuten käytössä olevan avaimen elinikä ja uuden avaimen vaihtotapa.  
Conn %default -osassa määritellään kaikille yhteyksille käytettäviä asetuksia kuten käytössä olevan avaimen elinikä ja uuden avaimen vaihtotapa.  


Conn osiossa VPN yhteys jaetaan left ja right puoliin, joilla määritellään valintoja niin vastaanottavalle kuin lähettävällekkin puolelle tunnelia.
Conn-osiossa VPN-yhteys jaetaan left- ja right-puoliin, joilla määritellään valintoja niin vastaanottavalle kuin lähettävällekin puolelle tunnelia.


VPN yhteydellä voi salata esim [[WLAN]] liikenteen. Tiedostot ovat lähes samanlaisia, niin tukiasemalla kuin kannettavallakin. Tukiasemalla pitää vain määrittää käytettävä interface.
VPN-yhteydellä voi salata esim [[WLAN]] liikenteen. Tiedostot ovat lähes samanlaisia, niin tukiasemalla kuin kannettavallakin. Tukiasemalla pitää vain määrittää käytettävä interface.
Esimerkki ipsec.conf:
Esimerkki ipsec.conf:


Rivi 96: Rivi 96:
   #  tai mika onkaan wlaniin pain oleva verkkokortti
   #  tai mika onkaan wlaniin pain oleva verkkokortti
   interfaces=%defaultroute
   interfaces=%defaultroute
   #debug asetukset
   #debug-asetukset
   klipsdebug=none
   klipsdebug=none
   plutodebug=none
   plutodebug=none
   #pluton asetukset
   #pluton-asetukset
   plutoload=%search
   plutoload=%search
   plutostart=%search
   plutostart=%search
   #muuta mtu arvoa
   #muuta mtu-arvoa
   overridemtu=1443
   overridemtu=1443
  #oletusasetukset yhteydelle
  #oletusasetukset yhteydelle
Rivi 108: Rivi 108:
   #
   #
   keyingtries=0
   keyingtries=0
   # kaytetaan IKEa avaimen vaihtoon
   # kaytetaan IKEa-avaimen vaihtoon
   keyexchange=ike
   keyexchange=ike
   # avaimen elinika
   # avaimen elinika
Rivi 130: Rivi 130:
  192.168.0.10 192.168.0.1: PSK "salainensana"
  192.168.0.10 192.168.0.1: PSK "salainensana"


Käynnistä ipsec palvelu uudelleen ja yhdistä VPN kannettavalta tukiasemalle.
Käynnistä ipsec-palvelu uudelleen ja yhdistä VPN kannettavalta tukiasemalle.


  '''Huom!''' FreeS/WAN:n kehitystyö on loppunut jo vuonna 2004. FreeS/WAN:n työn jatkajana pidetään  
  '''Huom!''' FreeS/WAN:n kehitystyö on loppunut vuonna 2004. FreeS/WAN:n työn jatkajana pidetään  
  [http://www.openswan.org/ Openswan] projektia.
  [http://www.openswan.org/ Openswan] projektia.


==ISAKMP==
===ISAKMP===


[http://web.mit.edu/network/isakmp/ DOD ISAKMP] toimi Ciscon ja MIT:n projektina jota rahoitettiin puolustusministeriön toimesta. Projektissa toteutettiin ISAKMP referenssimallia noudattava ohjelmistototeutus.
[http://web.mit.edu/network/isakmp/ DOD ISAKMP] toimi Ciscon ja MIT:n projektina jota rahoitettiin USA:n puolustusministeriön toimesta. Projektissa toteutettiin ISAKMP-referenssimallia noudattava ohjelmistototeutus.


==OpenVPN==
===OpenVPN===


[http://openvpn.net/ OpenVPN] ei perustu IPSEC protokollaan kuten perinteiset VPN:t vaan se käyttää web-selaimista tuttua SSL salausta. Ohjelmasta löytyy sekä mm. Windows ja Linux versiot, jotka toimivat yhteen mainiosti. OpenVPN on ehkä helpompi konfiguroida kuin perinteiset IPSEC perustaiset VPN:t. Myös vpn serverin konfigurointi (palvelee montaa vpn asiakasta) on mahdollista. OpenVPN on kätevä mm. lisäsuojana turvattoman wlan:n kanssa.
[http://openvpn.net/ OpenVPN] ei perustu IPSEC-protokollaan kuten perinteiset VPN:t vaan se käyttää web-selaimista tuttua SSL salausta. Ohjelmasta löytyy sekä mm. Windows- ja Linux-versiot, jotka toimivat yhteen mainiosti. OpenVPN on ehkä helpompi konfiguroida kuin perinteiset IPSEC-perustaiset VPN:t. Myös vpn-serverin konfigurointi (palvelee montaa vpn-asiakasta) on mahdollista. OpenVPN on kätevä mm. lisäsuojana turvattoman wlan:n kanssa.


Tietoturva guru Peter Gutmann on analysoinut [http://www.cs.auckland.ac.nz/~pgut001/pubs/linux_vpn.txt Linuxin VPN toteutuksia], eikä hänellä ollut OpenVPN:stä pahaa sanottavaa. Tälläkin perusteella voinemme pitää sitä erittäin turvallisena.
Tietoturvaguru Peter Gutmann on analysoinut [http://www.cs.auckland.ac.nz/~pgut001/pubs/linux_vpn.txt Linuxin VPN-toteutuksia], eikä hänellä ollut OpenVPN:stä pahaa sanottavaa. Tälläkin perusteella voinemme pitää sitä erittäin turvallisena.


=Ulkoiset linkit=
==Linkkejä==


[http://www.ssi.bg/~ja/ Julian Anastasovin paikkauksia] iprouteen.
*[http://www.ssi.bg/~ja/ Julian Anastasovin paikkauksia iprouteen]


[[Luokka:Verkko]]
[[Luokka:Verkko]]

Versio 5. heinäkuuta 2006 kello 01.08

Joskus tulee tarve lisätä varayhteyksiä tai varmistaa siirtoyhteyden kaistan riittävyys, mutta näiden toteuttamiseen ei ole yhtä suoraa ratkaisua.

Monimutkaisemmat yhteysratkaisut

Yritys voi ottaa käyttöönsä useamman operaattorin samanaikaisesti. Tällöin liikenne voidaan jakaa näiden operaattorien liittymiin, joko niin että toinen yhteys on passiivisena varalla, mikäli pääyhteys katkeaa, tai niin että molempia yhteyksiä käytetään samanaikaisesti ja tuplataan yhteyden kapasiteetti.

Yhteysnopeuden kasvattaminen ryhmittämällä

Kernelissä on tarjolla bonding-tuki. Bonding-ajurilla voidaan määrätä verkkokortteja "orjiksi" bond-laitteelle. Yksinkertaisimmin, yritys voi ottaa samalta operaattorilta neljä 1Mbit/1Mbit ADSL liittymää ja kytkeä niiden päätelaitteet siltaaviksi. Reititinkoneena toimivaan Linux-koneeseen laitetaan 5 verkkokorttia, joista 4 kytketään päätelaitteisiin, ja yksi sisäverkkoon päin.

Oletetaan että eth0->eth3 on kytketty ADSL-päätelaitteisiin. Otetaan bonding käyttöön:

modprobe bonding

Mikäli bonding-moduulia ei löydy, valitse se mukaan configista ja käännä moduulit uudelleen (make modules modules_install). Alustetaan bond0 liittymä:

ip link set dev bond0 up

Verkkokortit määritetään bond0-laitteelle orjiksi:

ifenslave bond0 eth0 eth1 eth2 eth3 

Nyt bond0-laitteelle voidaan hakea ip operaattorilta:

dhcpcd bond0

Nyt käytössä on periaatteessa 4Mbit uplink ja 4Mbit downlink, mutta ADSL:n asynkroninen rakenne tekee liittymästä 2Mbit/2Mbit SDSL:ää vastaavan linkin.

Samaa tekniikkaa voidaan käyttää kimputtamaan normaaleja verkkokortteja lähiverkkoyhteyksille, tästä voi olla apua esim videoeditointisovelluksissa, tiedostopalvelimissa sekä muissa paljon kaistaa tarvitsevissa ratkaisuissa.

Varayhteydet

Varayhteys voidaan toteuttaa joko reitityksillä tai bonding-ajurilla.

Bonding

Varayhteyden toteuttaminen bondingilla on huomattavasti yksinkertaisempaa. Jotta kerneli tunnistaisi rikkoutuneen linkin tulee käyttöön ladata myös moduulit miimon tai arp_interval ja arp_ip_target. Bonding-ajuri ladataan kerneliin, mutta toimintatila vaihdetaan kuormantasauksesta varalinkkiin:

modprobe bonding mode=1 miimon=50

Miimon arvo on aika millisekunteina, kuinka usein tarkistetaan onko yhteys ylhäällä. Tämän jälkeen bonding laite alustetaan kuten yllä.


Reititys

Mikäli varayhteys tulee toiselta operaattorilta, ja käytössä on palveluita ulospäin, on varayhteys toteutettava reitittämällä, ja tällöin yrityksellä tulee olla käytössä oma määritelty IP-blokki, ja reitityssopimukset kyseiselle AS-alueelle molemmilta operaattoreilta.

Palvelunlaatu

QoS-ratkaisut

QoS-ratkaisuilla pyritään takaamaan käyttäjien käyttöön aina määrätyn verran kaistaa.

Wondershaper

Wondershaper on yksi parhaista QoS-ohjelmistoista Linuxille. Sen tavoitteena on saada asymmetriset linkit, kuten kaapelimodeemit ja ADSL, toimimaan pienellä latenssilla käytettäessä SSH-, WWW-, tai telnet-protokollia, vaikka yhteydessä olisikin muuta kaistaa aktiivisesti varaavaa liikennettä.

Iproute2

Iproute2-ohje

VPN-yhteydet

VPN-yhteyttä käytetään normaalisti kun yrityksellä on kaksi erillistä toimipistettä, ja niiden välillä ei ole kiinteää datayhteyttä. On kuitenkin tarve vaihtaa asiakirjoja ja muuta tietoa toimipisteiden välillä, joten olemassaolevien internet yhteyksien läpi voidaan rakentaa VPN-tunneli jolla eri toimistojen lähiverkot voidaan yhdistää samaksi verkoksi salatun tunnelin suojaamana.

Free S/WAN

Free S/WAN on tällä hetkellä yleisimmin käytetty vpn-ratkaisu Linux-ympäristöissä.

FreeS/WANin käyttöönotto vaatii kernelin uudelleenkääntämisen. Se voidaan kääntää joko staattisesti kerneliin tai kääntää moduliksi jolloin se voidaan ladata käyttöön tarvittaessa. Pluto on sovellus, jolla hoidetaan IKE neuvoittelu koneiden välillä.

FreeS/WANin konfigurointi tapahtuu kahden tiedoston avulla.

/etc/ipsec.conf
/etc/ipsec.secrets

Ipsec.conf jakautuu kahteen eri osaan, config ja conn. Config-osassa asetetaan IPSEC perusasetuksia, käytössä oleva verkkosovitin ja plutolle määriteltäviä asetuksia. Conn %default -osassa määritellään kaikille yhteyksille käytettäviä asetuksia kuten käytössä olevan avaimen elinikä ja uuden avaimen vaihtotapa.

Conn-osiossa VPN-yhteys jaetaan left- ja right-puoliin, joilla määritellään valintoja niin vastaanottavalle kuin lähettävällekin puolelle tunnelia.

VPN-yhteydellä voi salata esim WLAN liikenteen. Tiedostot ovat lähes samanlaisia, niin tukiasemalla kuin kannettavallakin. Tukiasemalla pitää vain määrittää käytettävä interface. Esimerkki ipsec.conf:

#/etc/ipsec.conf
config setup
 # serverilla tiettyyn sovittimeen: 
 #  interfaces="ipsec0=eth0"
 #  tai mika onkaan wlaniin pain oleva verkkokortti
 interfaces=%defaultroute
 #debug-asetukset
 klipsdebug=none
 plutodebug=none
 #pluton-asetukset
 plutoload=%search
 plutostart=%search
 #muuta mtu-arvoa
 overridemtu=1443
#oletusasetukset yhteydelle
conn %default
 #
 keyingtries=0
 # kaytetaan IKEa-avaimen vaihtoon
 keyexchange=ike
 # avaimen elinika
 keylife=12h
 # kaytetaan ennaltamaariteltyja salaisuuksia
 authby=secret
# VPN-tunnelin asetukset
conn wlan1
 type=tunnel
 # left on langaton kannettava
 left=192.168.0.10
 # right on tukiasema
 right=192.168.0.1
 # 0.0.0.0/0 olettaa liikenteen kaikkiin kohteisiin
 rightsubnet=0.0.0.0/0
 # kaynnista automaattisesti
 auto=start

/etc/ipsec.secrets

192.168.0.10 192.168.0.1: PSK "salainensana"

Käynnistä ipsec-palvelu uudelleen ja yhdistä VPN kannettavalta tukiasemalle.

Huom! FreeS/WAN:n kehitystyö on loppunut vuonna 2004. FreeS/WAN:n työn jatkajana pidetään 
Openswan projektia.

ISAKMP

DOD ISAKMP toimi Ciscon ja MIT:n projektina jota rahoitettiin USA:n puolustusministeriön toimesta. Projektissa toteutettiin ISAKMP-referenssimallia noudattava ohjelmistototeutus.

OpenVPN

OpenVPN ei perustu IPSEC-protokollaan kuten perinteiset VPN:t vaan se käyttää web-selaimista tuttua SSL salausta. Ohjelmasta löytyy sekä mm. Windows- ja Linux-versiot, jotka toimivat yhteen mainiosti. OpenVPN on ehkä helpompi konfiguroida kuin perinteiset IPSEC-perustaiset VPN:t. Myös vpn-serverin konfigurointi (palvelee montaa vpn-asiakasta) on mahdollista. OpenVPN on kätevä mm. lisäsuojana turvattoman wlan:n kanssa.

Tietoturvaguru Peter Gutmann on analysoinut Linuxin VPN-toteutuksia, eikä hänellä ollut OpenVPN:stä pahaa sanottavaa. Tälläkin perusteella voinemme pitää sitä erittäin turvallisena.

Linkkejä