Cisco

Enhanced Interior Gateway Routing Protocol

Tue, 25 Sep 2007 15:47:27 GMT

Enhanced Interior Gateway Routing Protocol

Hepimiz küçük veya büyük ağlarımızda, yönlendirme cihazları kullandığımız yerlerde, yönlendirici cihazlara doğrudan bağlı olmayan networklere erişim için yönlendirme protokolleri kullanırız. Yönlendirici cihazlara router adı verilir.

1982 yılında Dynamic routing protokol grubundan olan Ripv1 ‘ in geliştirilmesi routerların capability’ lerinde çok önemli gelişmelerin olacağına bir işaretti.

Yönlendirme protokolleri statik ve dinamik routing protokolleri olarak 2 kısımda incelenir. Statik routing protokolünde networklerin bilgileri sistem yönetici tarafından oluşturulur ve manuel olarak yönetici el ile bunu değiştirmiyorsa bilgiler değişmeden kalacaktır.

Static routing protokolleri yönlendirici sayısının çok fazla olmadığ, topolojideki değişikliklerin çok sık yaşanmadığı ağlarda tercih edilmelidir. Static routing protokollerinde ağ üzerinde meydana gelecek değişiklikleri algılayacak bir algoritma çalışmamaktadır.

Eğer tüm bunları manuel olarak sistem yöneticisine değilde routera otomatik olarak yaptırmak istiyorsanız, topolojinizde meydana gelecek değişiklikleri sezinleyip bunun doğrultusunda yedek bir bağlantıya otomatik olarak geçiş yaptırmak istiyorsanız artık EIGRP’ ninde içinde bulunduğu dinamik routing protokollerin özelliklerinden bahsedebiliriz.

Üzerinde dinamik routing çalıştırdığımız routerlar, routing bilgilerini üzerlerinde bir tabloda bulundururlar ve topolojide bir değişiklik meydana geldiğinde tablo üzerinde gerekli değişiklikleri birbirleriyle haberleşerek yaparlar. Tablolarında bulunan bilgileri birbirlerine gönderir. Çalışan dynamic routing protokolun yeteneğine göre ve calısma yapısına göre paylaşılan bilgiler değişiklik gösterir. Sık değişen topolojimiz, iki nokta arasında birden fazla yol ve büyük sayılabilecek bir networkumuz varsa dynamic routing protokolllerini tercih etmeliyiz.

Static routing ile iki nokta arasında birden fazla yol var ise bunları çalıştıramayız şeklinde anlaşılmasın, hatları track yaptırıp bir hat down olduğunda diğerinin up olmasını vereceğimiz metric değeri vasıtasıyla sağlayabiliriz. Ancak EIGRP başlığı altında bu işlemi anlatmayacağım.

Dünya genelinde kullanılan yönlendirici cihazların %70 ‘ inden fazlasının cisco cihazlar olduğunu biliyoruz. Ayrıca Cisco kendi geliştirdiği, sadece kendi cihazlarına özel IGRP ve EIGRP protokollerinede sahiptir.

Bu protokoller dinamik routing için cisco tarafından geliştirilmiş olup farklı üreticilerin cihazlarıyla çalışmayacaktır. CCNA sınavların dada bu bilgi soru olarak çok sık karşımıza çıkacaktır.

İlk olarak Cisco tarafından IGRP geliştirildi. EIGRP ye temel ve ön bir hazırlık olabileceğini düşündüğüm için IGRP protokolunden ana hatlarıyla bahsetmek isterim.

IGRP ( Interior Gateway Routing Protocol ) protokolu Rıpv1 protokulunun yerini almak ve eksiklerini gidermek için geliştirilmiştir. IGRP’de Rip’teki 16 hop sayısı sınırının 255 e çıkarıldığını söyleyebiliriz.Ripv1 ve Rip v2 deki 120 olan administrative distance değeri burada 100’dür.Yani router üzerinde Rip veya IGRP çalıştırsak en iyi yol seçiminde IGRP protokolünün seçimine göre hareket edilecektir. Periyodik olarak 90 saniyede bir komşularına hello paketi gönderir.Ayrıca bu süre içinde topolojide bir değişiklik olursa yine bu değişikliği komşu router’larına bildirecektir.Yani gerektiğin dede update paketi yollayabilir.

Rip protokolünde load balance ( Yük paylaşımı ) için eşit metrikli yollar gerekirken, burada böyle bir problem ile karşılaşmıyoruz. Rip protokolünde metric hesabında hop sayısı, yani paketin ulaştığı router sayısı baz alınıyordu, IGRP de ise metric hesabı için 5 parametre kullanılmaktadır, Bunlar;

1-K1 : Band Genişliği

2-K2 : Gecikme

3-K3 : Güvenilirlik

4-K4 : Yük

5-K4 : MTU ( Maximum Transmission Unit )

Burada Metric hesabındaki en önemli etken K1: Band Genişliği değeridir. Aşağıdaki tabloda routerımızın serial interface’i üzerinde #show interfaces komutu cıktısında K1-K5 arasındaki değerleri görebilirsiniz. Igrp default olarak ( bunu değiştirebiliriz ) 90 sn de bir komşu routerlarına routing table’ını update eder, ve haberleşmesini 255.255.255.255 broadcast adresi üzerinden gerçekleştirir.

Igrp çalışan routerlar 3x90=270 sn içinde update göndermeyen networkleri invalid sayar, ancak bu süre içerisinde buradan daha büyük metricle gelecek update paketlerini kabul etmez. 280 sn sonra ise kabul eder ve bu süreye Hold Down Timers adı verilir. 280 sn süresi içerisinde update almadığı networkleri routing table’ından silmez, bu sürede 630 sn dir ve Flush Timers olarak adlandırılmaktadır.

Router’lar Metric hesabı yaparken seri interface’ lerindeki Band genişliğini değerini anlayamazlar, bizim verdiğimiz değeri kullanırlar. Biz herhangi bir şey belirtmemişsek default olan 1.5 Mbit değerini kullanır.

Router’a global konfigurasyon modundayken band genişliğini belirtecegemiz interface’in altında “bandwidth bandgenisligi” komutuyla değer atayabiliriz.

Igrp de Rip gibi classfull bir protokoldür. Konfigürasyonsal olarak’ da Rip’e büyük ölçüde benzer. Buradaki fark aynı otonom sistemde çalıştığımızı belirtmek için kullandığımız Otonom Sistem numarasıdır. Haberleşecek bütün routerlarda aynı olmalıdır.

Bu kadar ön bilgiden sonra Cisco’nun son olarak geliştirdiği, Rip’in geliştirilmiş versiyonu Ripv2 ye birçok yönden benzeyen ve makalemizin konusu olan Eigrp protokolune başlayabiliriz.

EIGRP (Enhanced Interrior Gateway Router Protocol )

Igrp’nin birçok yerde yetersiz kalması sonucu, Cisco Eigrp protokolünü geliştirmiştir. Igrp protokolüne birçok yönden benzemesinin dışında Distance Vektor ve Link State özelliğini taşımasından dolayı birçok yerde Hybrid olarakda anılmaktadır.

Eigrp Cisco ya özel bir protokoldür ve diğer üreticilerin cihazlarıyla birlikte kullanamazsınız.

Eigrp maximum 224 router’a kadar destek verebilir. Eigrp’de diğer tüm routing protokolleri gibi Routing table’ını update etme mantığıyla çalışır. Rip ve Igrp belirli periyotlarla tüm netowrk bilgilerini komşularına yolluyordu. Eigrp’de ise bütün network bilgilerini yollamıyor ve band genişliğini verimli şekilde kullanabiliyoruz. Bunun yerine boyutları çok daha küçük hello paketlerini komşu routerlarına gönderiyor ve up olup olmadıklarını öğrenebiliyor. Bunuda komşu routerlardan hello karşılığında gönderilen Acknowledgement paketleri sayesinde yapıyor.

Bu işlemleri RTP ( Reliable Transport Protocol ) protokolunu kullanarak yapıyor. Bu protokol’de Cisco tarafından geliştirilmiştir. Network’e yeni bir router eklendiğinde, router Query paketleri gönderir ve karşılığında aldığı Reply paketleriyle topolojisini oluşturur.

Eigrp çalışma mantığı içerisinde 5 çeşit paket vardır.

1. Hello

2. Acknowledgement

3. Update

4. Query

5. Reply

Igrp de update’ler 255.255.255.255 Broadcast adresi üzerinden gönderiliyordu, Eigrp ise hello paketleriyle gerçekleştirdiği haberleşmesini Broadcast olarak değil, Multicast gerçekleştiriyor. Kullandığı adres ; “ 224.0.0.10 “ .

Hello paketleri’nin Multicast çalıştığını söyledik, birde Acknowledgement paketlerimiz vardı, bunlar data içermeyen sadece güvenli iletişimin sağlanması için kullanılan paketlerdir ve Unicast çalışırlar.

Broadcast, Multicast ve Unicast kavramlarına açıklık getirirsek makalemizin ilerleyen kısımların dada faydalı olabilir.

Bunları bir örnekle açıklamaya çalışacağım;

Kalabalık bir ortama giriyorsunuz ve herkesin duyabileceği bir ses tonuyla ilgili, ilgisiz herkesin duyabileceği şekilde bir konudan bahsediyorsunuz, yani herkese yayın yapıyorsunuz bu durum; Broadcast’i açıklamaya yetecektir. Broadcast’in Türkçe karşılığı da yayın kelimesidir.

Yine topluluk dayız ve yine yüksek sesle aynı konudan bahsediyorsunuz fakat bu defa sadece ilgilenen kişileri çevremize toplamış konuşmalarımızı onlara yapıyoruz, konuyla ilgisi olmayanları rahatsız etmiyoruz, evet Multicast haberleşiyoruz.

Sesimizi giderek alçaltıyoruz ve artık sadece tek bir kişiyle özel olarak konuşuyoruz ve diğer kişiler bundan etkilenmiyor, baş başa Unicast bir haberleşme gerçekleştiriyoruz.

Broadcast çalışma şekli her zaman bir güvenlik açığı olduğu unutulmamalıdır. Birçok atak çeşidinin çalışması esnasında cihazların Broadcast çalışmalarından doğan güvenlik açıkları kullanılır. Örnek: Man in the Middle atakları

İsmi geçen Update paketleri; Bir router yeni bir network bulduğunda yada table’ındaki network bilgisi silindiğinde, metric hesabında bir değişiklik olduğunda veya Successor değiştiğinde gönderilen paketlerdir ve daha öncede belirttiğim gibi “ 224.0.0.10 “ Multicast adresini kullanır.

Metric hesaplarken IGRP ile aynı parametreleri kullanır. IGRP’nin üzerine eklenen özelliklerden biri authentication yeteneğidir. EIGRP diğer routerlarla haberleşmesinde ortak belirlenen bir şifre ile kimlik doğrulaması yapabilir. MD5 authentication desteği bulunmaktadır.

Eigrp Metric Hesaplanması;

Eigrp metric hesabı yaparken İgrp’de olduğu gibi K1 –K5 arası değerleri kullanır, ancak K2-K4-K5 default olarak 0 olduğu için hesaplamada etkisi olmaz. Buradaki K değerleri Igrp ‘de bahsettiğimiz değerlerin aynısıdır. Bir kez daha hatırlatacak olursak;

K1 : Band Genişliği ( Bandwidth )

K2 : Gecikme ( Delay )

K3 : Güvenilirlik ( Reliability )

K4: Yük ( Load )

K5 : MTU ( Maximum Transmisson Unit )

Şekil 1

Igrp ‘ de metric hesaplamasını Eigrp nin aynı şekilde ve aşağıdaki formul ile yapar

Metric = [ K1 * Bandwidth + ( K2 * Bandwidth ) / (256 –Load )+ (K3*Delay)]*[K5/ (Reliability + K4 ) ] .

Şekil 2

Eigrp çalışan routerlar bütün komşularını Neighboor routerında ve hedef networke giden bütün yollarıda Topoloji table’larında tutarlar. Bu bilgilere göre en iyi ol ( best path selection ) seçimini yaparlar.

Dilerseniz şimdi serial interfacelerinden bağlanmış 3 router’ı eigrp konfigürasyonunda görelim. Çalışma Dynamips ile yapılmış ve konfigürasyonlarda buradan alınmıştır.

Şekil 3

Resimde serial interfacelerinden bağlanmış 3 adet routerımız üzerinde loopback interfacelerde tanımlanmış durumda. 3 routerda Eigrp çalışmasına uygun olarak aynı AS ; ki burada 99 içinde yer almaktadırlar. Açıklamalarda routerların running config, neighboor table, topology table ve hedef networkler için routing table larını inceleyeceğiz.

Konfigürasyonların altlarında router’da neler yapıldığıyla ilgili olarak açıklamalar bulacaksanız.

Konfigürasyonlarda auto-summarization özelliği kapatılmıştır. “ no auto-summary “ komutu kullanılmıştır. Böylece network bilgileri update edilirken özetlenmesi engellenmiş olur.

Sizde bu çalışmayı 3 router üzerinde incelerseniz eigrp’nin çalışma yapısını pekiştirmiş olacaksınız, bunun için edinmeniz gereken dynagen programı ve üzerinde çalışacak ios temin etmeniz. Ben konfigurasyonu 7206 router ios uyla yaptım ancak eigrp için ios olarak ne çalıştırdığınız önemli değildir.

Şekil 4

Şekil 5

Sh run çıktısını incelediğimizde R1 routerına ait fa 0/0 , serial 1/0 ve serial 1/1 interface inin bilgileri interfacelerin altında belirtildiği gibi aynı zamanda “ router eigrp 99 “ komutunun altında da yazılmıştır. Buradaki 99 komutu 99 numaralı AS ( Otonom Sistem ) ‘ de çalıştığımızı belirtmektedir.
No Auto-summary özelliğinin bu konfigürasyonumuz için enable olduğunu daha öncede belirtmiştik, bura dada görüyoruz.
R1 router’ının neighbors yani komşuluk table’ına baktığımızda kendisine seri interfalerinden bağlı routerları görebiliyoruz.

Şekil 6

Burada da topoloji ve Routing table larını görüyoruz. Topoloji table’ ı için routerda “sh ip eigrp topology “ komutunu kullandık ve hedef networke olan bütün yol bilgilerini görebiliyoruz.
Routing table’ı için “sh ip route “ komutunu kullandık ve hedef networkler için en iyi yolları görüntülemiş olduk.
Routing table’da “ C “ ile belirtilen karakterlerin directly connected; yani router’a direk bağlı olduğunu ve “ D “ ile belirtilen karakterlerinde “ Eigrp “ networku olduğunuda unutmamalıyız. Codes kısmında bu karakterlerin router’da neye karşılık geldiği belirtilmiştir.

Şekil 7

Şekil 8

Sh run çıktısını incelediğimizde R2 routerına ait fa 0/0 ve serial 1/1 interface inin bilgileri interfacelerin altında belirtildiği gibi aynı zamanda “ router eigrp 99 “ komutunun altında da yazılmıştır. Buradaki 99 komutu 99 numaralı AS ( Otonom Sistem ) ‘ de çalıştığımızı belirtmektedir.
No Auto-summary özelliğinin bu konfigürasyonumuz için enable olduğunu daha öncede belirtmiştik, buradada görüyoruz.
R2 router’ının neighbors yani komşuluk table’ına baktığımızda kendisine seri interfalerinden bağlı routerları görebiliyoruz.

Şekil 9

Burada da topoloji ve Routing table larını görüyoruz. Topoloji table’ ı için routerda “sh ip eigrp topology “ komutunu kullandık ve hedef networke olan bütün yol bilgilerini görebiliyoruz.
Routing table’ı için “sh ip route “ komutunu kullandık ve hedef networkler için en iyi yolları görüntülemiş olduk.
Routing table’da “ C “ ile belirtilen karakterlerin directly connected; yani router’a direk bağlı olduğunu ve “ D “ ile belirtilen karakterlerinde “ Eigrp “ networku olduğunuda unutmamalıyız. Codes kısmında bu karakterlerin router’da neye karşılık geldiği belirtilmiştir.

Şekil 10

Şekil 11

Sh run çıktısını incelediğimizde R1 routerına ait fa 0/0 , serial 1/0 ve serial 1/1 interface inin bilgileri interfacelerin altında belirtildiği gibi aynı zamanda “ router eigrp 99 “ komutunun altında da yazılmıştır.Buradaki 99 komutu 99 numaralı AS ( Otonom Sistem ) ‘ de çalıştığımızı belirtmektedir.
No Auto-summary özelliğinin bu konfigürasyonumuz için enable olduğunu daha öncede belirtmiştik, buradada görüyoruz.
R1 router’ının neighbors yani komşuluk table’ına baktığımızda kendisine seri interfalerinden bağlı routerları görebiliyoruz.

Şekil 12

Burada da topoloji ve Routing table larını görüyoruz. Topoloji table’ ı için routerda “sh ip eigrp topology “ komutunu kullandık ve hedef networke olan bütün yol bilgilerini görebiliyoruz.
Routing table’ı için “sh ip route “ komutunu kullandık ve hedef networkler için en iyi yolları görüntülemiş olduk.
Routing table’da “ C “ ile belirtilen karakterlerin directly connected; yani router’a direk bağlı olduğunu ve “ D “ ile belirtilen karakterlerinde “ Eigrp “ networku olduğunuda unutmamalıyız. Codes kısmında bu karakterlerin router’da neye karşılık geldiği belirtilmiştir.

Gördüğümüz gibi Konfigurasyonda zor hiç bir taraf yok, Eigrp tüm dynamic routing protokoller arasında en hızlı çalışan protokoldur. Yeni kuracağımız bir network yapısında Eigrp kullanmak bize yararlar getireceği gibi , Static olarak ayarlanmış bir network yapısında Eigrp’ye geçmek ipv4 den ipv6 ya geçişimiz kadar zor olabilir.

Konfigürasyona başlamadan önce Eigrp çalışan routerların authentication ile kimlik doğrulaması yapabildiğinden bahsetmiştik, Eigrp de Igrp gibi Load balance yapabilir. Hedef networke giden birden fazla yol arasında yük paylaşımı yapabiliriz.

Bir sonraki makalemizde Eigrp’nin bu 2 özelliğini, konfigürasyonlarını yaparak açıklamaya çalışacağım.

Saygılarımla görüşmek üzere…..

Cisco Pix arasında Site to Site VPN

linux1371 — Sat, 26 May 2007 17:32:00 GMT

Günümüzde ADSL teknolojisinin yaygın bir şekilde kullanılması ile firmaların şubeleri ile mecut internet baglantıları üzerinden baglantı saglama istekleri çok sık karşılaştıgımız bir durumdur. Mevcut bu baglantının üzerinden site to site bir çözüm saglamak hem fiyat hemde admistrative açıdan avantaj saglamaktadır. Gönderilecek yada alınacak verilerin boyutları çok olmadıkça ve şube sayısı artmadıkça site to site en çok kullanılan tekniklerden biridir. Biz burda Cisco PIX device ile site to site bir network yapısı oluşturacaz.

Cisco PIX SDM ile Site-to-Site VPN

Sahip olduğunuz iki adet Cisco PIX ile şubeleriniz arasında VPN trafiğinin nasıl kurulacağını PDM arayüzünü kullanarak anlatacağım .

Bir merkez birde şubemizin bulunduğunu düşünürsek , öncelikle merkez ofisteki Cisco PIX ten konfigürasyona başlayalım .

Cisco PIX te diğer Cisco cihazları gibi consol dan konfigüre edilir . PIX ın bir artısı ise arayüzede sahip olmasıdır. Satın aldığınız PIX ın ethernet interface i için atanmış bir ip adresi olmadığı için bu ara yüze erişmek için öncelikle consol kablosu ile ethernet interface i up yapmalı ve bir ip atamalısınız . Benim pix in ethernet interface inin ip adresi 192.168.1.1 dir.

İnternet Explorer da bu ip adresini yazdığımda ise karşıma PDM yazılımı çıkmaktadır . Ancak PDM in çalışabilmesi için ise bilgisayarınızda Java yüklü olmalıdır.

Açılan menüden “Wizards” bölümüne geliyor ve “VPN Wizard” sekmesine tıklıyoruz.

Şekil 1

Şekil 2

Cisco PIX üzerinde VPN Server ve Site to Site VPN seçenekleri vardır. Yani merkez ofisteki PIX i isterseniz aynı bir ISA Server gibi VPN Server haline getirebilir ve PIX Vpn Client yazılımı yüklü herhangi bir makineden VPN tüneli açabilirsiniz . Bizim amacımız ise iki PIX arasında VPN kurmak olduğu için ilk seçeneği seçiyor. Hemen altta bulunan interface seçeneği ise VPN özelliğinin hangi interface için açılacağını seçiyoruz .

Şekil 3

Bu bölümde ise öncelikle uzak noktanın sabit olan Real ip adresini yazıyoruz. Aramızdaki kimlik doğrulama için ise Pre-shared key veya sertifika kullanabiliriz. Ben ortak anahtar yöntemini kullanacağım . Yani her iki PIX üzerine de aynı Key değerlerini girerek kimlik doğrulamayı sağlayacağım .

Şekil 4

Bu ekranda ise açılacak olan VPN Tunelinin şifreleme ve kimlik doğrulama algoritmalarını seçiyoruz. 3DES yeterli bir güvenlik sağlayacaktır.

Şekil 5

[LOCAL SITE ]

Bu ekranda ise şirket içi network ip adresimizi tanımlamamız gerekmektedir. Interface kısmından “inside” seçili iken iç network ID sini yazıyoruz ve işaretli olan butona basıyoruz.

Şekil 6

Karşımıza çıkan ekranda ise bu kayıt için bir isim veriyoruz ve tanımlamayı bitiriyoruz. Bundan sonra çıkacak ekranları da “next” butonu yardımı ile geçiyoruz ve aşağıdaki ekranı görmüş oluyoruz.

Şekil 7

[ REMOTE SITE ]

Burada da uzak ofisimizin iç network ID sini belirtiyoruz.. Yine aynı butonu kullanarak tanımlama ekranını görüyouz.

Şekil 8

Burada da iç network ID mizi belirlerken verdiğimiz isim gibi dış network için de bir isim vermeliyiz. Ama şu önemli konuya dikkat etmelisiniz , iki isimde aynı olmamalı. Aynı verirseniz zaten size uyarı verecektir.

Şekil 9

Burada da seçme butonuna tıklayarak dış network’ü de seçtikten sonra finish diyerek kurulum işlemimizi bitiriyoruz.

Bu wizard sayesinde iki adet cisco PIX device ile VPN Tüneli kurmuş oluyoruz. Bundan sonra yazacağınız kurallar çerçevesinde iki şubenizi güvenli bir şekilde bağlayabilirsiniz.