पीएचडी के लिए नेटवर्क इन्फ्रास्ट्रक्चर तैयार करना

सर्गेई पावलोव और दिमित्री कुर्बातोव द्वारा पाठ

11 मई, 2011, पॉजिटिव हैक डेज़ फोरम एक सप्ताह दूर है। सब कुछ योजना के अनुसार लगभग हो जाता है: परिसर किराए पर लिया जाता है, मेहमानों को आमंत्रित किया जाता है, कार्यों का आविष्कार किया जाता है। प्रायोजकों में से एक एचपी ब्लेड, कई सिस्को उत्प्रेरक 2960 स्विच, एक्सेस पॉइंट और एक वायरलेस डब्ल्यूएलसी नियंत्रक के साथ एक बड़ी टोकरी लाया। उपकरण पीसा के लीनिंग टॉवर के रूप में मुड़ा हुआ था, लेकिन चालू भी नहीं हुआ। हमने तय किया कि अभी तक एक भी L3 स्विच नहीं है - कॉन्फ़िगर करने के लिए कुछ भी नहीं है।

अगले दिन, 2960 का एक बैच आया, एक उत्प्रेरक 3750, पैच डोरियों और विस्तार डोरियों का एक बॉक्स। यह आरंभ करने और नेटवर्क बनाने का समय है। पीएचडी वेबसाइट पर, हॉल की योजनाएं मिलीं, जिसमें मंच की योजना बनाई गई थी। बेशक, मीटर में दीवारों की लंबाई के बारे में जानकारी के बिना, लेकिन केवल खेल क्षेत्रों और सेमिनारों के लिए स्थानों के संकेत के साथ। एक घंटे के मंथन के बाद, नेटवर्क आरेख का पहला संस्करण तैयार था:




अंत में दिखाए गए नेटवर्क को ऊपर दिखाए गए रूपरेखा के साथ क्या करना था। बड़े सिस्टम इंटीग्रेटर्स में काम करने वाले सहकर्मियों का तर्क है कि यह विरोधाभास एक पूर्ण आदर्श है और वास्तव में डिजाइन और कार्यान्वयन दो पूरी तरह से अविश्वसनीय प्रक्रियाएं हैं। हर कोई आत्मा के लिए आरेख बनाता है, लेकिन वे इकट्ठा होते हैं और कॉन्फ़िगर करते हैं कि यह कैसे जाता है। सबसे अनुभवी का कहना है कि यह GOST के अनुसार नहीं है और इसलिए यह काम करना असंभव है।

हमारे मामले में, केवल कैटलिस्ट 3750 स्विच और काम का तर्क अपने मूल स्थान पर रहा। चूंकि केवल एक एल 3 स्विच था, इसलिए नेटवर्क गलत-सहिष्णु नहीं था: 3750 नेटवर्क का "मुख्य" था, एक्सेस स्विच से एलएसीपी अपलिंक एकत्र किया गया और वीएलएएन के बीच ट्रैफ़िक को रूट किया गया। 2960 के छह या सात टुकड़ों का उपयोग एक्सेस स्विच के रूप में किया गया था। वास्तुकला सरल और स्पष्ट है, इसके बारे में बताने के लिए अधिक कुछ नहीं है।

दिन के अंत तक, स्टैक्ड स्विचेस पैच डोरियों की मोटी जाल में उलझ गए थे, लेकिन यह तस्वीर अभी भी एससीएस हॉरर फिल्मों की उत्कृष्ट कृतियों तक नहीं पहुंच पाई थी। उसी समय, वायरलेस नेटवर्क घटकों को कॉन्फ़िगर किया गया था, लेकिन शुक्रवार 13 तारीख को एक साथ सब कुछ खत्म करने और कनेक्ट करने का निर्णय लिया गया।



" पॉजिटिव हैक डेज़ CTF एक सूचना सुरक्षा प्रतियोगिता है और इसमें हानिरहित छात्र भाग नहीं लेते हैं!" Dima Evteev ने कुछ इस तरह कहा, जिससे हमें पता चल सके कि नेटवर्क को संभव उपयोगकर्ता क्रियाओं से यथासंभव सुरक्षित बनाना अच्छा होगा।

इसलिए स्विच सेटिंग में नेटवर्क उपकरण निर्माता द्वारा अनुशंसित गर्म रेखाएं दिखाई दीं, लेकिन अधिकांश नेटवर्क प्रशासकों के लिए अपरिचित हैं:

vtp mode off
ip dhcp snooping vlan 116-117,150-151,200
ip arp proxy disable
ip arp gratuitous none
service password-encryption
ip ssh time-out 60
ip ssh authentication-retries 4
ip ssh version 2
interface Vlan100
ip address 192.168.0.100 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
interface FastEthernet0/3
switchport access vlan 100
switchport mode access
switchport port-security maximum 2
switchport port-security
switchport port-security aging time 10
switchport port-security violation restrict
switchport port-security aging type inactivity
spanning-tree portfast
spanning-tree bpduguard enable
no ip http server
ip access-list standard Mngt_Access
permit 172.16.0.0 0.0.0.255 log
deny any
line vty 0 4
access-class Mngt_Access in
login local
transport input ssh

और इतने पर और आगे। अधिक, जैसा कि वे कहते हैं, cisco.com पर।

शुक्रवार को 13 वां दिन ऐसा नहीं होता, अगर यह एक अप्रिय आश्चर्य नहीं होता। हर कोई एक बार में 100 किलोग्राम के एचपी बास्केट की तरह नहीं होता, उसे ट्रक से कार्यालय तक ले जाना एक ही मनोरंजन था। वजन के बाद डिवाइस का दूसरा "सकारात्मक" लक्षण निकला जिसमें एचपी सी-क्लास जीबीई 2 सी स्विच की उपस्थिति थी, जिसे हमारे "नेटवर्क" विशेषज्ञों में से किसी ने भी पहले नहीं देखा था। और यहाँ शुक्रवार है, शाम के आठ, मैं काम छोड़ना चाहता हूं और सोमवार तक कार्यालय का रास्ता भूल जाता हूं, और मेरी आंखों के सामने:



निर्माता की वेबसाइट की खोज करने के बाद, यह संभव हो गया कि वह स्वैच्छिक उत्पाद प्रलेखन से परिचित हो जाए, लेकिन उस शाम अपने आप को दबाने और एक अपरिचित लोहे से निपटने में विफल रहा। सोमवार तक के लिए स्थगित करना पड़ा।

लेकिन ऐसा नहीं था। शुक्रवार की रात। काम से घर लौटने के बाद, केवल सप्ताहांत बिताने के लिए कितना अच्छा था के बारे में विचार थे। लेकिन अचानक, लगभग आँसू में, डिमा इवेटेव कॉल करता है और कहता है कि उन्होंने मुझे अकेला छोड़ दिया, लेकिन आप, मैं आपको ... जैसा कि यह निकला, उसे किसी तरह के स्विचिंग की आवश्यकता थी। लेकिन इस तथ्य के कारण कि ट्रंक एचपी और सिस्को स्विचेस के बीच दोस्ती नहीं करना चाहता था, मुझे बहुत कठिन निर्णय लेना पड़ा। अर्थात्: संयुक्त प्रयासों से हमने एक्सेस मोड में काम करने के लिए स्विच को कॉन्फ़िगर किया, जिससे सोमवार तक ट्रंकिंग के बारे में भूल गए।

सोमवार, 16 मई, तीन दिन तक पीएचडी, जिनमें से एक एचपी स्विच स्थापित करने के लिए है, 17 वीं के बाद से सभी उपकरण मंच के स्थल के लिए रवाना हो रहे हैं।

ब्लेड स्विचबोर्ड से कैसे जुड़े हैं, स्विच खुद और इसके बाहरी पोर्ट? टोकरी में चार सर्वर हैं, इसलिए आपको स्विच से नेटवर्क तक कम से कम दो गीगाबिट अपलिंक प्रदान करने की आवश्यकता है, कैसे? आंखें डरती हैं, लेकिन हाथ कर रहे हैं। दो घंटे के लिए, उन्होंने दीवार के खिलाफ अपने सिर को पीटा और परिणामस्वरूप, एचपी और कैटलिस्ट स्विच के बीच एलएसीपी के साथ एथरचनेल शुरू हो गया।

17 मई को, ग्रंथियों ने कहीं भी नहीं छोड़ा, लेकिन वसंत सूरज से पराबैंगनी परीक्षण से गुजरने के लिए पेंटेस्टर्स के भरी कमरे में छोड़ दिया गया था :)

एक बार अभी भी समय था, हमने पेंटेस्ट और ऑडिट मोड में मैक्सपाट्रॉल सिस्टम के साथ सभी उपकरणों को स्कैन करने का निर्णय लिया। ओह! कितना अद्भुत है! एक स्विच में एक मानक सिस्को / सिस्को खाता है। यह एक घोटाला होगा!

तुरंत इस खाते को हटा दिया, और एक दुःस्वप्न की तरह सब कुछ भूल गया। एसएनएमपीवी 3 के लिए पढ़ने-लिखने की अनुमति के साथ कोई कम खतरनाक डिफ़ॉल्ट / डिफ़ॉल्ट खाता भी सिस्को डब्ल्यूएलसी पर लटका दिया गया।

वायरलेस नेटवर्क के बारे में थोड़ा सा।
बुनियादी ढांचे में ही 2 घटक शामिल थे:
- सिस्को वायरलेस लैन नियंत्रक 2106 प्रबंधन नियंत्रक
- पहुंच बिंदु: सिस्को एलएपी 1131



वायरलेस नेटवर्क का मुख्य लक्ष्य संचारकों, लैपटॉप और अन्य उपकरणों से सार्वजनिक इंटरनेट तक पहुंच प्रदान करना था। इसलिए, सिस्को डब्ल्यूएलसी पर वायरलेस नेटवर्क के लिए, एक डीएचसीपी सर्वर चालू किया गया था ताकि उपयोगकर्ताओं के लिए सब कुछ पारदर्शी हो: वह इंटरनेट पर आया, "शर्म बोर्ड" पर अपना पासवर्ड देखा;) मिररिंग के लिए, 3750 स्विच पर पोर्ट मिररिंग चालू किया गया था।

18 मई को, दोपहर 12 बजे, पीटी में दो सबसे जिम्मेदार अधिकारी यंग गार्ड क्लब के रिसेप्शन डेस्क पर एकत्र हुए। वे इकट्ठे हुए और शेष की प्रतीक्षा करने लगे, यह संदेह नहीं था कि लगभग कल तक उन्हें लोडर और मजदूर के रूप में काम करना होगा। दोपहर एक बजे तक, बाकी सहयोगियों ने खुद को एक साथ खींच लिया, ट्रक सभी प्रकार की चीजों के साथ पहुंचे। लंच ब्रेक के बिना, लेकिन नियमित ब्रेक के साथ, सूचना सुरक्षा विशेषज्ञ, ऑडिटर, सलाहकार, विश्लेषक और एक तकनीकी निदेशक ने क्लब के दो तलों पर PHD अवसंरचना तैनात की। योजनाबद्ध चार से पाँच के मुकाबले में दस घंटे लग गए, जिससे हम अपने घरों को सुबह एक के करीब छोड़ रहे थे।

PHD के लिए नेटवर्क को तैनात करने का असली काम लगभग 6 बजे शुरू हुआ, क्योंकि उस समय तक इंटीग्रेटर्स केवल टेलीविज़न के लिए आधारभूत संरचना तैयार कर रहे थे। इसलिए, आगंतुकों के लिए उपकरण, सामान और उपहारों को उतारने के बाद, उपकरण को एक इत्मीनान से गति से टेबल पर रखना और कनेक्शन तालिका के अनुसार भौतिकी को जोड़ना संभव था। कार्यालय में, यह बहुत सरल लग रहा था, क्योंकि वायर्ड और वायरलेस नेटवर्क एक-दूसरे से अलग-अलग स्थापित किए गए थे। नेटवर्क का मुख्य कोर नीचे प्रस्तुत किया गया है।



जैसा कि पहले उल्लेख किया गया है, डिज़ाइन किया गया और वास्तविक नेटवर्क हमेशा अलग होता है। यह वायरलेस नेटवर्क के साथ हुआ। योजना के अनुसार, यह पता चला कि कुछ पहुंच बिंदु बॉक्स के अंदर होने चाहिए, जो पहले से ही प्लाईवुड शीट के साथ कसकर सिल दिया गया था।



पहुँच बिंदुओं के कुछ स्थानों में उन्हें 220 वी शक्ति प्रदान करना संभव नहीं था। उन्होंने WLC पोर्ट्स का इस्तेमाल किया जो PoE को सपोर्ट करते हैं। सौभाग्य से, ऐसे 2 स्थान थे और 2 बंदरगाह भी थे। शेष पहुंच बिंदु, जैसा कि अपेक्षित था, स्विच बंदरगाहों से जुड़ा था।

लेकिन सबसे दिलचस्प अभी आना बाकी था। शाम 8 बजे तक यह पता चला कि प्रदाता ने "सफेद" आईपी पते (वीडियो के लिए और इंटरनेट के लिए पीएचडी नेटवर्क एक्सेस के लिए) के साथ 2 लिंक प्रदान किए हैं। लेकिन 3750 NAT का समर्थन नहीं करता है! तात्कालिकता के रूप में, एसओएचओ क्लास राउटर के लिए 2 दूतों को सेवलोव्स्की को भेजा गया था। वे सुबह 11 बजे तक जल्दी नहीं लौटे। इस उपकरण के लिए सेटिंग्स का शीघ्र पता लगाने के बाद, हमने NAT को चालू किया, डिवाइस को हमारे 3750 स्विच से कनेक्ट किया, वायरलेस नेटवर्क के माध्यम से इंटरनेट कनेक्शन की जांच की, और इस पर फैसला किया कि यह रोक के लायक था।

घर पर, सुबह के तीन बजे के करीब, मैं एक भयावह सोच से घबरा गया था: “नरक में मैंने VLANs के बीच अभिगम नियंत्रण सूची क्यों नहीं डाली?” कल, 19 वें दिन सुबह नौ बजे प्रतियोगिता शुरू होगी और विभिन्न देशों के चतुर लोगों को नेटवर्क तक पहुँच मिलेगी, और हमारे यहाँ। सेगमेंट के बीच भी नेटवर्क ट्रैफिक सीमित नहीं है। यदि कोई CTF नेटवर्क से परे जाकर आयोजकों के होस्ट को हैक कर लेता है तो यह "मज़ेदार" होगा।

सुबह मैं PHD की जल्दी में था और प्रतियोगिता शुरू होने से एक घंटे पहले ACL को लटकाने और सब कुछ जांचने की योजना बनाई, लेकिन ट्रैफ़िक में फंस गया और आठ बत्तीस पर आ गया। नतीजतन, नेटवर्क सीटीएफ की शुरुआत से केवल 15 मिनट पहले अपेक्षाकृत सुरक्षित और उपयोग के लिए तैयार था, लेकिन इसने अपने कार्यों का प्रदर्शन किया और आंशिक रूप से केवल एक बार गिर गया, जब हमलावर ने स्विच में से एक की शक्ति काट दी।

मुझे लगता है कि इस दिन सभी हैकरों का सपना एक नॉन्सस्क्रिप्ट लैपटॉप था, जिस पर पूरे वायरिंग आरेख के साथ-साथ नेटवर्क उपकरण के सभी पासवर्ड बड़े करीने से चित्रित होते हैं।



लगभग इस नस में, प्रशिक्षण हुआ।

अरे हाँ! मैं पूरी तरह से भूल गया कि PHD से एक दिन पहले, आंद्रेई का जन्मदिन था, जिसने और भी सकारात्मक रूप से प्रदर्शनी की तैयारियों को प्रभावित किया;)