59 UVOD U IZGRADNJU RAUNALNE MREE ZA PRISTUP INTERNETU ZA MALE I SREDNJE UREDE NA SUSTAVU OTVORENOG KDA Kukec M.1 1Veleuilite u Varadinu, Varadin, Hrvatska Saetak:Ovajradneiznosinikakvetehnolokenovostiniti rezultateistraivanja,vemujenakanabezdubljegulaenjau tehnologijudatipregledosnovnihmogunostiitehnologijakoje semoguprimijenitiprispajanjulokalnihraunalnihmreana Internet.Tekstdajeosnovnipregledmogunostiiobjanjenja zatoikakosepojedinetehnologijekoriste.Nakanaradaje pribliititematikubezpreviestrunihpojmovakakobisedala poetnatokaiobjasnilokojekorakejepotrebnopoduzetipri planiranjuovakvihrjeenja.KorisnikuInternetaovajradmoe datiponekiodgovornapitanjenakojinainnjegovoraunalo komunicira s ostalima u mrei. Abstract:Thispaperdoesnotprovideanytechnology innovationsorresearchresults,butintents,withnodeeper analysisofthetechnology,topresentbasicoptionsand technologies which can be applied in connection local computer networkstotheInternet.Itpresentsthebasicoptionsand explainswhyandhowsometechnologiesarebeingused.The purposeistointroducethetopicwithouttoomuchprofessional terminology in order to get a starting point and to explain which stepsshouldbetakeninplanningsuchsolutions. To an Internet user this paper may provide an answer to the question of how his computer communicates with other network computers. 1. UVOD Ovajraddajeuvoduplaniranjeraunalnemreeza maleisrednjeuvredekojajeizgraenanaotvorenim sustavima. Nakana rada je pokazati na koji nain povezati ipodesitiureajekakobilokalnamreaveegbroja raunalaimalapristupInternetuuzuspostavljanje minimalnerazinesigurnostiikontrole.Napoetkuje potrebnododatnoobjasnitinaslovinamjeruovograda. Raunalna mrea koja e ovdje biti razmatrana, izgraena jenatrenutnonajrasprostranjenijimtehnologijamaza izgradnjulokalnihraunalnihmrea(LAN):TCP/IP protokolni stog s Ethernet protokolom u pristupnom sloju (engl. Network Access Layer). Sustav otvorenog kda koji se spominje u naslovu, je bilo koji sustav izgren na Linux jezgri. Postoje i drugi operacijski sustavi otvorenog kda koji mogu posluiti istoj svrsi (npr. FreeBSD), no ovaj rad esekoncentriratinaLinuxoperacijskisustav.Doseg ovdje prikazanog rjeenja je raunalna mrea s do stotinu mrenihprikljuakakakvisemogunalazitiumalomili uredu srednje veliine. Strukturno kabliranjeizvedeno je kablovima kategorije 5 ili 6.Rad je organiziran na sljedei nain. U drugom odjeljku dajesepregledinfrastrukturekojamorapostojatiprije implementiranja ovakvih rjeenja. Trei dio objanjava na koji nain su spojeni ureaji koji sudjeluju u prenoenju podatakaizmeuraunalaulokalnojmreiionihizvan nje. Odabir i postavljanje Internet adresa objanjava se u etvrtom dijelu ovog rada. Adresna translacija, mehanizam bez kojeg sve ovo ne bi bilo mogue, objanjen je u petom poglavlju nakon kojeg slijedi zakljuak. 2. STRUKTURNO KABLIRANJE Prvi korak u izgradnji svake raunalne mree je strukturno kabliranje.Strukturnokabliranjejeskuppravilai standarda kojiodreuju na koji nain je potrebno izvesti postavljanjepasivnemreneopremekojaukljuuje kablove,utiniceuradnomprostorunakojesespajaju raunala, te prospojne toke u mrenim ormarima na mjestu koncentracije svih mrenih prikljuaka. Sl. 1.Arhitektura mree Aktualniskupstandardazastrukturnokabliranje telekomunikacijskeopremenazivaseTIA/EIA-568-B. Navedeniskupstandardadefiniratipovekablova, 60 doputeneudaljenosti,tj.duinekablova,pravilaza terminacijukablovaitipoveprikljuakanakablovima. Osim pravila za planiranje i postavljanje pasivne mrene opreme, standardi propisuju i minimalne zahtjeve koje kod postavljanja pasivnamrenaopremamorazadovoljavati. Osnovnaogranienjaseodnosenadoputeneduine kablova,nostandardiodreujuiogranienjakojase odnose na elektrine karakteristike postavljene instalacije. Kaoprimjermoesenavestijedanodparametarakoji instalacijamorazadovoljavati.Standardpropisujetzv. "Insertionloss"kojijemjeragubitkasignala,akoji nastajeuprijenosnommedijuizmeupredajnikai prijemnika. esto se naziva "Atenuacija". Izraava se u dB relativno primljenoj razini signala. Mjeri se za sve parove kablana203Cpriemu je mogue uzeti korektivni faktor od 0.4%/Cna temperaturu od 20 C.Strukturnokabliranjejevrlovaankorakuizgradnji raunalnemreetemujepotrebnoposvetitiposebnu panjuprilikomimplementacije.Polaganjemrenih kablova,postavljanjeormaraiprikljunihmjestau radnom prostoruesto zahtijeva graevinske radove te je ovajkorakpotrebnovrlopaljivoplaniratiikvalitetno implementirati.Eventualnegrekeipropustikojese otkrivajunakonimplementacijetijekomispitivanja instalacijeinjezineusklaenostisastandardima,mogu znatno produiti rokove i podii cijenu izvedbe. Ovajradneesedetaljnijebavitistrukturnim kabliranjem.Smatrasedajestrukturnokabliranje izvedenotedajeizvedenainfrastrukturasukladna navedenimstandardima.Kabliranjejeizvedenokoristei pasivnumrenuopremukategorije5eilikategorije6. Navedenekategorijekablovaiopenitopasivnemrene opremeomoguavajukoritenje100BASE-TXEthernet standarda i 1000BASE-T Ethernet standarda pri emu je preporuljivo koristiti pasivnu mrenu opremu kategorije 6. Brzine prijenosa podataka na mediju su 100 Mbit/s za 100BASE-TX i 1000 Mbit/s za 1000BASE-T. 3. ARHITEKTURA MREE Slika1pokazujearhitekturumree.Prikazanesu osnovnekomponentenunezaspajanjelokalnemree raunala na Internet.ISP router na slici 1 je mreni ureaj koji se nalazi u prostorijamakorisnikaanajbliejedavateljuusluga pristupaInternetu.Iakosenalaziuprostorukorisnika, estojetajureajuvlasnitvudavateljauslugaiu njegovoj je nadlenosti, no to nije nuno pravilo i ovisi o samomdavateljuuslugapristupaInternetu.Davatelj uslugatajureajpodeavazakorisnikatemudaje odreeni broj javnih IP adresa na koritenje. Dodijeljeni broj IP adresa moe se kretati od jedne do teoretski najvie 224toiznosi16,777,216IPadresausluajukadaje korisniku pridijeljena A klasa IP adresa to je u dananje vrijemeupraksigotovonemogue.Razlogtomeje iscrpljenostadresnogprostora.IPprotokolverzije4 (IPv4), predvia IP adrese veliine 32 bita to ukupno daje 232moguihIPadresa.Naprvipogledsemodaova brojka ini velikom no potrebno je uzeti u obzir da svaki korisnik Interneta, svaki posluitelj i openito svaki ureaj koji se spaja na Internet mora imati jedinstvenu IP adresu. Iskoristivi broj IP adresa smanjuju mehanizmi i protokoli kojisununizanjihovokoritenje.Upravozbogtih razlogavrlojevjerojatnodaekorisnikimatina raspolaganjumanji broj IP adresa u opsegu od 20 do 25 najvie.Uovomradupretpostavljamodakorisnikima jednuilinajvieosamjavnihIPadresazakoritenje. Potrebno je napomenuti da od navedenih osam IP adresa ostaje zapravo samo pet na koritenje korisniku. Dvije su potroene automatski kao adresa mree i broadcast adresa za korisnikovu mreu a trea je IP adresa koju koristi ISP usmjernik. Pitanje koje se postavlja ovdje je na koji nain spojitiistovremeno100raunalanaInternetssamo5 raspoloivihjavnihIPadresaakosvako raunalno mora imatijedinstvenuIPadresu?Odgovornaovopitanjeiznesen je u narednim dijelovima. Kako bi se rijeio problem manjka IP adresa na ISP, na usmjernik s korisnikove strane moe se spojiti jo jedan usmjernik koji je u nadlenosti korisnika ija je zadaa da omoguiraunalimaulokalnojmreipristupInternetui porednedostatkaIPadresa.Zadauovog,drugog, usmjernika moe obavljati samo jedan usmjernik, npr. ISP usmjernik,noovdjeserazmatrasluajkadatonije mogueiliiznekograzloganijepoeljno.J edanod moguihsluajevajeuspostavademilitariziranezone (DMZ) za posluitelje. To je sluaj kada korisnik unutar svojeg adresnog prostora ima posluitelje koji su direktno spojeni na ISP usmjernik. Posluitelji se mogu postaviti i iza drugog usmjernika koji je podeen tako da se omogui pristuptimposluiteljimasjavnimIPadresama,no ovakva razmatranja prelaze okvire ovog rada. Za drugi usmjernik, na slici 1 oznaen kao "Linux NAT usmjernik",kojisespajanaISPusmjernik,moese iskoristitiPCraunalosdvijemrenekartice.Ovakvo rjeenje je financijski povoljnije od usmjernika, posebno akoseuzmuuobzirrelativnomalemogunosti proirivanjanekihodhardverskihusmjernikai nadogradnje softvera. S PC raunalom je situacija potpuno drugaijabezobzirarazmatralisehardverskaili softverska nadogradnja. Upravo u raznolikosti softvera za nadzormreekojisemoeinstaliratinaPCraunalo, javlja se prednost ovog rjeenja.PrednostikoritenjaPCraunalakaousmjernikasu ujedno i nedostatci navedenog rjeenja. U irem kontekstu za raunala moemo rei da je PC raunalo stroj openite namjenetekaotakvonijeautomatskipripremljenoza upravljanje mrenim prometom za razliku od hardverskih usmjernika. Kako bi ga pripremili za upravljanje mrenim prometom,nanjegajepotrebnoinstaliratioperacijski sustav te dodatne alate koji to podravaju. Primjer takvih operacijskih sustava su svi operacijski sustavi izgraeni na Linux jezgri. Posljednji mreni ureaj na koji se spajaju raunala je komutator.KomutatorsesjednestranespajanaLinux NATusmjernikasdrugestranesenanjegaspajaju raunala. 4. PODEAVANJE LINUX USMJERNIKA PodeavanjeLunuxusmjernikakljunajetoka ovakvogpostavamree.Operacijskisustavinstaliranna PCraunalukojieomoguitinjegovopretvaranjeu usmjernikkakojevenavedeno,moebitibilokoji bazirannaLinuxjezgri.Uputnojepritomekoristiti poznatije distribucije, no nije nuno. Prednost poznatijih distribucija je u podrci, stabilnosti i lakoi koritenja to ihiinipoznatijima.Namjernonitijednadistribucija 61 poimencenijenabrojenajerjenezahvalnoodrediti preciznugranicuizmeupoznatijihimanjepoznatih distribucijadokeigotovosvemanjepoznatije distribucijeposluitiuovomprimjeru.Ovdjesenee razmatratiprocedurainstalacijeoperacijskogsustava. SmatrasedajenaPCraunaloinstalirananekaod distribucija Linux baziranog operacijskog sustava. Linuxusmjernikjekomponentaumreikojie preuzimatiprometsISPusmjernikategadostavljati raunalima u mrei iza njega i obrnuto. Kako bi to mogao, potrebnasumudvamrenasuelja,tj.dvijemrene kartice. Slika 1 pokazuje Linux usmjernik s dva mrena sueljapodnazivimaeth0ieth1.Prvomrenosuelje, eth0, spaja se na ISP usmjernik te se na njemu podeava javna IP adresa koju korisniku pridjeljuje davatelj usluga pristupa Internetu. Ova javna IP adresa Linux usmjerniku moesepridijelitinadvanaina:statikiidinamiki. Statikododjeljivanjeznaidakorisniksampodeava dodijeljenumuIPadresunaLinuxusmjerniktedata adresaostajestalnopridijeljenamrenomsueljueth0. DinamikopridjeljivanjeIPadreseobavljasekoristei protokol za automatsku dodjelu mrenih parametara (engl. Dynamic Host Configuration Protocol DHCP). Parametreautomatskipridjeljujedavateljuslugakroz DHCPposluitelj.Karakteristikadinamikog pridjeljivanjamrenihparametaraiIPadresejenjezina promjenjivostsvremenom.Dinamikopridjeljivanje parametara davatelji usluga koriste kod ADSL tehnologije pristupadokjestatikopridjeljivanjeparametaraei sluajprizakupustalnelinijezaprijenospodataka.U prvomsluajukorisnikeimatinaraspolaganjusamo jednu javnu IP adresudok e u drugom sluaju imati na raspolaganju nekoliko ili vie IP adresa. Davatelji usluga estopodeavajusvojeDHCPposluiteljedaIPadrese dodjeljujunaodreenivremenskiperiodnakonkojeg korisnik automatski dobiva neku drugu IP adresu. Razlog tome je pokuaj onemoguavanja korisnika u koritenju IP adrese u svrhe postavljanja posluitelja za WEB, mail ili u nekedrugesvrhe.Ovajprimjerseograniavana koritenje jedne, statiki dodijeljene IP adrese. Sl. 2. Podeavanje IP adresa na Linux usmjerniku Slika2pokazujepostavljanjeIPadresanamrena sueljaLinuxusmjernika.Naeth0mrenosuelje postavljenajejavnaIPadresa193.198.63.551anaeth1 mrenosueljepostavljenajeIPadresa192.168.0.1.Za razliku od IP adrese eth0 mrenog suelja koju dodjeljuje davatelj usluga, IP adresa koja se postavlja na eth1 mreno suelje Linux usmjernika, moe se odabrati proizvoljno iz skupaprivatnihIPadresa.Slika3pokazujeopsegIP adrese iz skupa privatnih IP adresa. [referenca prema RFC 1918] One se razlikuju od javnih IP adresa po tome to se

1 IP adresa 193.198.63.55 samo je primjer i nalazi se u opsegu IP adresa Veleuilita u Varadinu te se ne moe koristiti bilo gdje drugdje. onesmijukoristitisamounutarorganizacijezanjezine unutarnjepotrebe.Organizacijaihmoekoristitibez registriranja kako to njoj najbolje odgovara to nije sluaj s javnim IP adresama.PrivatneIPadresesujedanodmehanizamakoji smanjuje potrebu za velikim koliinama javnih IP adresa. Kakojenjihovanamjenakoritenjeiskljuivounutar organizacije ili unutar mrea nekoliko organizacija, svaka organizacijaihmoekoristiti.IPadreseneebiti jedinstvene,isteIPadreseekoristitivelikibroj organizacija, no ne postoji mogunost zabune jer se te IP adrese koriste samo unutar organizacije. Sl. 3. Privatne IP adrese prema RFC 1918 PrivatnimIPadresamarjeavaseproblemnedostatka javnihIPadresa.Organizacija,maliilisrednjiurediz ovog primjera, dobiva od svojeg davatelja usluga jednu ili malibrojjavnihIPadresa.Brojraunalakojimatreba omoguitipristupInternetuestojepunoveiodbroja dobivenih adresa te se na ta raunala postavljaju adrese iz privatnogopsega.Njihovakarakteristikajedasesmiju koristiti samo unutar lokalne mree organizacije to znai dasenemogukoristitikakobiseraunalaizlokalne mreepovezaladirektnonaInternet.Mehanizamkoji omoguava ovu vezu, naziva se NAT Network address translation. Naredni odjeljak objanjava kako NAT radi i kako ga podesiti. Sl. 4. Adresna translacija 5. ADRESNA TRANSLACIJA Adresnatranslacija(NAT)pojednostavljenosemoe objasnitikaomultipleksorkojiomoguavamrenom prometu s proizvoljnog broja IP adresa da izvana izgleda kao da dolazi samo s jedne javne IP adrese. Upravo je to uinak koji je potrebno u ovom primjeru postii. Slika 4 pokazuje kako radi jedna od vrsta adresne translacije koja se naziva PAT (Port Address Translation). Da bi se moglo 10. 0. 0. 0- 10. 255. 255. 255( 10/ 8)172. 16. 0. 0- 172. 31. 255. 255( 172. 16/ 12)192. 168. 0. 0- 192. 168. 255. 255( 192. 168/ 16) 62 objasnitikakonavedenametodaradiabezdubljeg razmatranjaTCPprotokola,potrebnojereidamreni promet od toke A do toke B pronalazi put, tj. odredite pomouIPadreseakadastignenaodreditepomou parametra koji odreuje broj vrata (engl. port),dodjeljujese odreenoj vezi i pripadajuoj aplikaciji. Tako vrata 80 oznaavaju HTTP posluitelja, vrata 53 DNS itd. Na slici 4 prikazana su tri raunala u lokalnoj mrei s IP adresamaredomx.y.z.10,x.y.z.20ix.y.z.30kako pokuavajupristupitimrenomsredstvu.Njihovmreni promet prolazi kroz Linux usmjernik na kojem je aktivan PAT.Utrenutkuprosljeivanjamrenogprometana vanjskosueljeeth1,PAT e promijeniti izvorine x.y.z adrese u vanjsku IP adresu a.b.c.d. Osim toga, kako bi se mogloodreditikojimreniprometjestigaoskojegod x.y.z raunala, PAT e promijeniti i izvorina vrata s kojih jestigaoprometteesvetepromjenezapisatiusvoju tablicu.Kadastigneodgovornazahtjeveraunalaiz lokalne mree, odgovor e stii na IP adresu a.b.c.d Linux usmjernika.Pomouprijestvorenetabliceusmjernike znatiprimljenepodatkedostavitiraunalimaulokalnoj mrei. Upravo zbog koritenja razliitih vrata na jednoj IP adresi ova se vrsta NATa naziva Port Address Translation. Sl. 5. Podeavanje PATa Naredba sa slike 5 dovoljna je kako bi se ukljuila PAT funkcionalnostusmjernika.Vidljivojedanavedena naredbakombinirasvevereeno.Uprvomdijelu naredbe nakon prekidaa "-s" navodi se skupina IP adrese zakojeseomoguavaadresnatranslacija.Uovom primjeru je adresna translacija omoguena za IP adrese iz lokalnemreeuopseguod192.168.1.1-192.168.1.254. Nakonoznaavanjaadresazakojeseukljuujeadresna translacijanakonopcije"-o",navodiseimeizlaznog mrenogsueljatenakonopcije"--to"javnaIPadresa preko koje e mreni promet prolaziti. Sl. 6. Podeavanje raunala u lokalnoj mrei Pokretanjem naredbe sa slike 5 omoguava se adresna translacijanausmjerniku.Kakobiraunalaizlokalne mreemoglapristupitiInternetukoristeiLinux usmjernik, potrebno im je mrene parametre podesiti kako jeprikazanonaslici6.,IPadresausmjernika(Default gateway)kojieraunalokoristiti,jeIPadresaeth1 mrenog suelja Linux usmjernika. IP adresa raunala se postavljauopsegu192.168.1.2-192.168.1.254pazeipri tome da svako raunalo u lokalnoj mrei ima razliitu IP adresu.Navedeneparametrepotrebnojeupisatiusvako raunalo. U sluaju kada se radi o veem broju raunala u lokalnojmrei,uputnojenaLinuxusmjernikinstalirati DHCPposluiteljakojiemreneparametreautomatski proslijediti raunalima. 6. ZAKLJUAK Rad saeto i bez dubokog ulaenja u tehnologiju opisuje neke od metoda i postupaka koji se mogu primijeniti kako bi se raunalima u manjem ili srednjem uredu omoguilo pristupanjeInternetu.Iznesenarjeenjaizgraenasuna koritenjuogranienihsredstvatoseoitujeuvrlo malom broju dostupnih javnih IP adresa te koritenju PC raunala kao zamjene za hardverski usmjernik.Kako i naslov rada govori, prikazano rjeenje samo je uvod u navedenu tematiku. Kroz nekoliko odjeljaka ovog radaprikazanojenakojinainzaobiizaprekepri rjeavanjuovogproblema.Temekojenisudotaknutesu zatitaraunalnemreeodmoguihnapada,uspostava vatrozida.Vrlojevanorazmotritimehanizmekojie omoguiti da pojedino raunalo ili skupina unutar lokalne raunalne mree ne onemogui druge u pristupu Interentu koristei velik postotak propusnosti. Navedeni mehanizmi su vrlo vani za kvalitetno funkcioniranje lokalne mree te ih je potrebno razmotriti u narednom radu. 7. LITERATURA [1]Tanenbaum,A.S.,"ComputerNetworks,4thEdition", PrenticeHall,UpperSaddleRiver,NewJ ersey,March, 2003. [2]Rodriguez, A., Gatrell, J ., Karas, J ., Peschke, R., "TCP/IP TutorialandTechnicalOverview",IBMCorporation, International Technical Support Organization, New York, August 2001 [3]L.Gheorghe,DesigningandImplementingLinux Firewalls and QoS Using Netfilter, Iproute2, NAT and 17-filter, Packt Publishing Limited, Birmingham, 2006. Kontakt: M. Kukec Veleuilite u Varadinu Krianieva bb, 42000 Varadin Telefon: 042-493 394 E-mail: mkukec@velv.hr i pt abl es- t nat - APOSTROUTI NGs\192. 168. 1. 0/ 24- oet h0- j SNAT- - t o\193. 198. 63. 55