Bir Ağ Yöetim Sistemi: GuardiLAN Erha Altıtaş, Our Özardıç, Salih Talay, Tolga Ayav Bilgisayar Mühedisliği Bölümü İzmir Yüksek Tekoloji Estitüsü, İzmir {altitas, ozardic, stalay, tayav}@arf.iyte.edu.tr ÖZET Bilgisayar ağlarıdaki hızlı gelişime rağme ağ yöetim sistemleri bu gelişimi geriside kalmaktadır. Ağları hızla gelişmesi, ağda oluşa trafik tiplerideki çeşitlilik, ve kayaklardaki kısıtlılık Servis Kalitesi ve Network Yöetimi koularıı daha öemli hale getirmiştir. Bu bildiride, İzmir Yüksek Tekoloji Estitüsü ü yerel bilgisayar ağı içi geliştirile GuardiLAN projesi suulacaktır. GuardiLAN ilk aşamada 3 kısımda oluşa, modüler ve web tabalı bir ağ yöetim sistemidir. Birici kısım ağ topolojisii belirlemeside ve takibide sorumlu olup, ikici kısım kullaıcıları IP adreslerii ve MAC adreslerii düzeli olarak kotrolüyle ağ güveliğii yükseltilmesii sağlamaktadır. So kısım ise geiş ala ağı bağlatısıı etki kullaımı içi geliştirilmiş bir akıllı bat geişliği yöetim aracıdır. ÖZGEÇMİŞ Erha Altıtaş 198 yılıda Hasköy (Bulgarista) da doğa Erha Altıtaş, 1998 yılıda İzmir Şiriyer Lisesi i, 23 yılıda da İzmir Yüksek Tekoloji Estitüsü Bilgisayar Mühedisliği Bölümü ü bitirdi. Bugüe dek çeşitli web tabalı yazılım geliştirme projeleride görev almıştır. Our Özardıç 1981 yılıda Bartı da doğa Our Özardıç, 1999 yılıda Bartı Davut Fırıcıoğlu Aadolu Lisesi i, 23 yılıda da İzmir Yüksek Tekoloji Estitüsü Bilgisayar Mühedisliği Bölümü ü bitirdi. Salih Talay 1982 yılıda Sakarya da doğa Salih TALAY, 1999 yılıda İzmir Buca Aadolu Lisesi i, 23 yılıda da İzmir Yüksek Tekoloji Estitüsü Bilgisayar Mühedisliği Bölümü ü bitirdi. ABSTRACT Preset day s growth of etworks ad diversity i types of traffic may cause cogested etworks, which brigs a great demad for Quality of Service (QoS) ad Network Maagemet. I this paper, the project amely GuardiLAN, which has bee developed for Izmir Istitute of Techology s local area etwork, is preseted. GuardiLAN cosists of three sub-projects; etwork topology discovery ad maagemet, IP-MAC address matchig, ad itelliget badwidth maagemet for the WAN coectio. Tolga Ayav 1974 yılıda İzmir de doğdu. 1991 yılıda İzmir Atatürk Lisesii, 1995 yılıda Dokuz Eylül Üiversitesi Elektrik- Elektroik Mühedisliği Bölümü ü bitirdi. 1998 yılıda İzmir Yüksek Tekoloji Estitüsü Bilgisayar Müh. Bölümüde Yüksek Lisas öğreimii tamamladı. Hale bu bölümde Öğretim Görevlisi olarak görev yapmakta olup Ege Üiversitesi Bilgisayar Müh. Bölümüde de doktora öğreimii sürdürmektedir.
1. GİRİŞ Bilgisayar ağlarıda oluşa trafik, yüksek oralarda farklılıklar göstermekte ve her bir trafik tipi; bat geişliği, gecikme, gecikme sürelerideki değişim ve buluabilirlik faktörleri açısıda kedisie özgü gereksiimlere sahip olmaktadır. Iteret i kullaımıı patlamasıyla, bu trafikleri büyük bir kısmı IP tabalı olmuştur. Tek bir trasfer protokolüü kullaılması, hem gerekli ola doaımı daha az karmaşık olması, hem de işletim bedellerii düşük olması açısıda yararlı olmaktadır. IP i paket aahtarlamalı bağlatısız bir protokol olması bilgisayar ağlarıda Servis Kalitesi açısıda belirsizlikler getirmektedir. Tüm bular ağ yöetimii daha zor hale getirmektedir. Bu bildiride suula ve üç kısımda oluşa GuardiLAN projesi İzmir Yüksek Tekoloji Estitüsü yerel ağıı yöetimsel ihtiyaçlarıı karşılamak içi geliştirilmektedir. İzmir Yüksek Tekoloji Estitüsü Kampüs alaı ve bua bağlı olarak kampüs yerel ala ağı hızla geişlemektedir. Buu soucuda da ağ içide bazı kotrol ve yöetim gereksiimleri ortaya çıkmıştır. E temel ihtiyaç ağı topolojisii belirlemesi ve bir haritasıı oluşturulmasıdır. Bu harita sayeside her türlü cihazı çalışma durumu, hat durumları ve hatları kullaım oraları izleebilir. Bu sayede ağda oluşabilecek problemler cok daha hızlı bir şekilde tespit edilebilir. Takip ede bölümde topoloji belirleme çalışması detaylı olarak alatılmaktadır. Ağ içideki sorularda biri de yerel ala ağıı kedi içideki güvelik gereksiimleridir. Ağ içideki bir kullaıcı, bir başka kullaıcıı IP adresii ele geçirip kullaarak, o kullaıcıya taımış ve başkalarıı erişimi ya da kullaımıa izi verilmeye hizmetlere ya da bilgilere ulaşabilir; o kullaıcı adıa ağ içide trafik oluşturabilir ve hatta buu değişik kayaklara saldırı amaçlı kullaabilir. Bu durumu öüe geçebilmek içi, her kullaıcıı sürekli ayı IP adresiyle ağa giriş yapıp yapmadığıı kotrol edilmesi gerekmektedir. Bu kouyla ilgili başka bir soru ise, ağa yei dahil ola ve daha öcede ağı bir elemaı olduğua dair güveilir termial olarak belirlememiş termialleri belirlemesidir. Bu durum, etheret ortamıda çok büyük bir soru oluşturmayabilir; çükü bu yei termiali ağa giriş yapabileceği fiziksel oktalar geellikle deetim altıdadır; acak saldırıı içeride de gelebileceği göz öüde buludurulduğuda bu durum da bir risk faktörü oluşturmaktadır. Acak, kampüs ağıı oluştura alt ağlarda herhagi birii kablosuz ağ olması durumuda, fiziksel olarak kotrol edilemeye bir oktada gelebilecek bir dış saldırı öemli bir risk oluşturur. Saldırı, ağ içideki herhagi bir kayağa zarar verilmesi olabileceği gibi, servislerde kesitilere sebep oluması, korumalı bir bilgiye ulaşılması ve hatta yalızca ağ içideki aka trafiği dilemesi olarak da karşımıza çıkabilir. Bu ve bezeri durumlarda da, ağ içide güveile termialler belirlemeli ve ağa eklee her yei termial bulumalı, bu termial hakkıda güveilir ya da güveilmez kararıı verilmesi ve o termiale tahsis edilmiş ola bat geişliğii bua göre ayarlaması gerekmektedir. Bu projei ikici kısmı IP ve MAC adreslerii karşılaştırmak suretiyle uyumsuzlukarı tespit ederek ve ağa yei eklee kullaıcıları belirleyerek ağ güveliğii yükseltilmeside rol oyamaktadır. Yerel ağdaki diğer bir problem de WAN bağlatısıdaki sıkışma veya verimsiz kullaımdır. Bu bağlatıı sıkışmasıı ölemek amacıyla mevcut bat geişliğii artırılması, akla gele ilk çözümdür. Acak soru, basit bir kapasite soruuda daha ötesidir. Durum, trafiği hacimsel olarak artışıı yaıda yapısal olarak da değişmesidir. IP tabalı uygulamalar çok sayıda yei trafik tipleri doğurmakta ve oldukça farklı yapıda operasyoel gereksiimler ortaya çıkarmaktadır. So zamalarda peer-to-peer programları gelişmesiyle mevcut bat geişliklerii büyük bir kısmı bu programlar tarafıda harcamaya başlamıştır. Bu ise bir çok kurum içi, o kurumu Iteret kullaım politikasıa bağlı olarak, öemli bir soru teşkil etmektedir. Projei üçücü ve so kısmı mevcut bat geişliğii kullaıcılara kurumu politikalarıa bağlı olarak otomatik olarak paylaştıra bir akıllı bat geişliği yöetim programıdır. Bu projeyle ilgili detaylı bilgi so bölümde verilmektedir. Buları dışıda, ağ içideki trafiği ve kullaıcılara ait belli başlı kullaım verilerii derlemesi, buları işlemesi ve oluşa bilgileri ağ yöeticisi tarafıda yöetsel karar verme aşamasıda kullaılması ağı verimliliğii arttıracak bir faktördür. Buu içi üç proje tarafıda kullaılabilecek ortak bir veritabaı oluşturulmuştur. Veritabaı ile ilgili detaylar da takip ede bolümlerde verilecektir. 2. FİZİKSEL AĞ TOPOLOJİSİ BELİRLEME 2.1. GİRİŞ Bir bilgisayar ağıı fiziksel topolojisi, o bilgisayar ağıa bağlı kullaıcıları bilgisayarları, ağ yazıcıları, kesitisiz güç kayağı takip sistemleri, bu sistemleri birbirlerie bağlaya etheret aahtarları, yölediriciler ve buları birbirleriyle ola fiziksel (kablolu veya kablosuz) bağlatılarıı ifade eder. Fiziksel topoloji, Veri Bağlama katmaı ( OSI 2 ) seviyesideki bağlatıları içerir. Matıksal ağ topolojisi ise Ağ katmaı (OSI 3 ) seviyeside bağlatıları ifade eder ve fiziksel topolojide farklı olarak yerel ağı oluştura bağlatıları görmezde gelir. Matıksal topoloji daha çok Geiş Ala Ağları seviyeside alam taşır. Moder IP tabalı ağları yöetimi gü geçtikçe daha öemli bir hale gelmektedir. Ağa katıla yei kullaıcılar, eklee yei etheret aahtarları, bu aygıtları takibi, yöetimi, ağ trafiği icelemesi ve değerledirmesi gibi gülük soruları çözümüde ağ yöeticilerie yöelik olarak hazırlamış pek çok yazılım mevcuttur, acak buları hepsi belirli bir görevi yerie getirecek şekilde geliştirilmiştir. Özel talepler ve görev grupları içi özel geliştirilmiş yazılımlar acak özel olarak geliştirilmektedir. Fiziksel ağ topolojisii bilimesi ağ yöetimi çalışmaları içide öemli bir yer tutmaktadır. Sistemi yük dağılımıı icelemesi, geel eğilimleri ortaya çıkarılması, ihtiyaçları belirlemesi, istee türdeki trafiği takibi ve yöetimi, kullaıcıları ve haklarıı yöetimi, sistemde ortaya çıka soruları takibi ve giderilmesi yie ağ yöeticisii sorumluğudadır. Bu görevleri etki ve yeteri kadar yerie getirilebilmesi içi ağı topolojisii kotrol altıda tutulması ağ yöetimide oldukça öemli yer tutar. Ağ topolojisi belirleme çalışmaları Iteret i düyaya yayılması ile hız kazamıştır. Ağ Katmaı düzeyide yapıla çalışmalar daha çok aa omurgaları buluduğu Geiş Ala Ağlarıı ve ağ katmaı seviyeside topoloji gösterimii hedeflemiş, [1], [2] ve [3] çoğu durumda yerel ala ağlarıı ve oları bileşelerii gözardı etmiştir. Ticari ürülere de yasıya bu durum daha sora pek çok üretici ve geliştiricii ortaya çıkardığı ürülerle kapatılmaya çalışılmıştır [4], [5].
Fiziksel topoloji belirleme kousudaki ilk öemli akademik çalışma Breitbart tarafıda Bell Laboratuarları da yapılmıştır [6]. Lucet grubu, stadart SNMP MIB lerii kullaarak yaptığı çalışmada etheret aahtar aktarım tablolarıda eksiklik olmadığı kabul edilerek bir sistem tasarlamıştır. Acak bu şartı yerie getirebilmek içi ağ üzeride sürekli olarak ağ elemalarıa yöelik paket trafiği oluşturma zorululuğu vardır. Daha soraki öemli çalışma ise Lowekamp tarafıda yapılmıştır [7]. Bu çalışmada fazlada paket trafiği oluşturmada ve aahtarları aktarım tablolarıı içerdiği bilgiler yeterli kabul edilmiştir. Topoloji belirleme işlemi kullaıcı tarafıda belirtile IP adresleriyle sıırlıdır ve etheret aahtarları hariç diğer akıllı cihazları yöetimii içermememektedir. Bu uygulama İYTE yerel ala ağıda deemiş acak tatmi edici bir souç elde edilememiştir. Kouyla ilgili e gücel çalışma ise Bejerao u çalışmasıdır [8]. Farklı bir algoritma ortaya koya grup, çalışmasıda uygulamaı souçlarıda bahsetmemiştir. Spaig Tree protokolüü kullaa ağlardaki fiziksel topolojiyi belirlemek içi yapılmış çalışmalar da bulumaktadır [9]. 2.2. YAPILAN ÇALIŞMA GuardiLAN projesi çerçeveside yapıla çalışma öcede belirlemiş geel ve özel tüm Iteret adres blokları üzerideki sistemleri belirlemesie ve öcede belirtilmiş tüm ağ yöetim topluluklarıı yöetimie imka sağlamaktadır. Buu yaıda toplaa verileri GuardiLAN veritabaıa aktarımı ve böylece diğer ağ yöetim araçlarıyla yardımlaşması ve ağ yöetimi görevlerii kolaylaştırması hedeflemiştir. Aşağıda verile algoritma ile öcede belirlemiş Iteret adres bloklarıda çalışmakta bulua sistemleri belirlemesi ve sııfladırlması mümkü olmaktadır. Bu yötemle hem ağa yei bağlaa bilgisayarlar belirlemekte hem de topoloji belirleme esasıda kullaılacak ola etheret aahtarları adres aktarım tablolarıdaki eksiklikleri gidermektedir. 2.2.1 SNMP, SMI, MIB HAKKINDA TEMEL BİLGİLER Ağ yöetimi görevlerii daha kolay ve uzakta yerie getirilebilmesi içi tasarlaa SNMP protokolu topoloji belirlemede temel bileşei oluşturmaktadır [1]. SNMP i 3 versiyou bulumaktadır: v1, v2c, v3. Kimlik doğrulama işlemleri SNMP v2c de topluluk isimleri vasıtasıyla yapılmaktadır: ör. public. SNMP ile akıllı cihazlarla ilgili geel ve özel pekçok bilgiye erişim mümkü olmaktadır. Bütü bu yöetimsel bilgiler ve buları saklama ve erişim biçimi SMI (Structure of Maagemet Iformatio) ile taımlamıştır. SMI ile taımlaa yöetimsel eseler, yie SMI da taımlaa hiyeraşik yapıya uyarlar. SMI ile ağacı yalızca gövdesi ve bileşeleri yapıları taımlaır. Ağacı yaprakları ise MIB (Maagemet Iformatio Base) ile belirlemiştir [11]. MIB lerle taımlaa yöetimsel bilgiler Sistem Adı gibi tek bir satır ile ifade edilebildiği gibi bir tabloyu da ifade edebilmektedir. Öreği Etheret Aahtarlarıı hagi MAC adresie hagi portta ulaşabileceğii bulduğu adres aktarım tabloları (Address Forward Table - AFT) bir tablo olarak BRIDGE-MIB de taımlamıştır [12]. Geel amaçlı MIB ler RFC belgeleriyle taımlaır ve gücelleir. Acak cihazı kedisie özel yöetimsel bilgileri tutulduğu özel MIB ler cihazı ürete kuruluş tarafıda düzeleir ve gücelleir. MIB-II, RFC-1213 ile taımlamıştır ve daha sora başka RFC ler ile değişiklikler yapılmıştır. Herhagi bir akıllı cihazla ilgili geel bilgilere erişmek içi akıllı cihazı SNMP Aget ıda (akıllı cihazı SNMP sorgularıa cevap vermesii sağlaya yazılım) implemete edilmiş olması yeterlidir. Cihazları cisie özel yöetimsel bilgiler, öreği Etheret Aahtarıı Port-Arabirim tabloları veya ağ yazıcısıı iş kuyruğu bilgileri veya bir suucuu üzeride çalışa süreçler gibi cihaz tipie özel MIB lerde taımlıdır (BRIDGE-MIB (RFC 1493), HOST-RESOURCES [13] ) ve yüklüdür. Öreği bir ağ yazıcısıı SNMP Aget ı etheret aahtarıda buluması gereke Port-Arabirim tablosu ile ilgili sorguya cevap vermez. 2.2.2 AKILLI CİHAZLARIN TİPLERİNİN BELİRLENMESİ Algoritmada kullaıla sistem taımı bilgisi.iso.org.dod.iteret.mgmt.mib- 2.system.sysDescr. esesi olarak bütü akıllı cihazlarda ortaktır, cihazda SNMP buluduğuu işaret eder. Sistemde gele yaıt ile sistemi yazılım ve/veya doaım üreticisii öğremek de mümkü olmaktadır. BRIDGE-MIB etheret aahtarlarıda ve yölediricilerde buluur. Buları birbiride ayıra özellik köprü yötemidir: güümüzde etheret aahtarları Trasparet modda çalışır. Yölediriciler ise Source Route Trasparet modda çalışır. Bu ikisii birbiride ayırmak içi BRIDGE-MIB deki ( RFC-1493 te.iso.org.dod.iteret.mgmt.mib- 2.dot1dBridge olarak taımlamıştır ).dot1dbase.dot1dbasenumports. (port sayısı) esesi sorgulaır. Cevap da büyükse etheret aahtardır, değilse yölediricidir. C = { belirli SNMP yöetimsel topluluk isimleri : ör. public } cl i C i herhagi bir elemaıı temsil etmektedir. ip = { belirli bir IP adres bloğu : ör. 193.14.248./22 veya 192.168../24 } ip j-k j ici IP bloğuu k ıcı elemaıı temsil etmektedir. IPB = { belirli IP adres blokları } M = {IPB kümeside taımlı IP adreslerii kullaa ve C i elemalarıda herhagi biri ile SNMP sorgularıa cevap vere akıllı cihazları ifade ede IP adresi topluluk ismi ikilisi } B = { M i sadece etheret aahtarı ola elemaları} H = { SNMP ile yöetim imkaı bulumaya cihazlar} ifade etmek üzere Prosedür : Cihazları cislerii belirlemesi : Başlagıç : /* Akıllı cihazları belirlemesi */ C i elemaı her bir c i içi IPB i elemaı her bir ip j içi ip j i her bir elemaı ip j-k içi (cl i ) ile (ip j-k ) adreside sistem bilgisii sorgula Eğer cevap gelirse M ye (ip j-k, cl i ) ikilisii ekle Diğer durumda ip j-k adresii H ye ekle /* Etheret Aahtarlarıı belirlemesi */
M i elemaı ola her bir (ip, topluluk) ikilisi içi topluluk ismi ile ip adreside port sayısıı sorgula Eğer cevap gelirse ve Eğer da büyükse ip bir etheret aahtarıa aittir Diğer durumda ip bir yölediriciye aittir. Diğer durumda ip adresii kullaa sistem ormal kullaıcı, ağ yazıcısı, UPS takip sistemi olabilir. 2.2.3 AÇIK BİLGİSAYAR SİSTEMLERİNİN BELİRLENMESİ Ağ yöetimi ile ilgili çalışmaları etki ve etkili olarak yapılabilmesi içi akıllı cihazlar kadar diğer sistemler hakkıda bilgi sahibi olmak da öem taşır. Ağa bağlı kullaıcıları çoğuda SNMP bulumaz, bu yüzde zate bağlatısız bir protokol ola UDP yi kullaa SNMP sorgularıa cevap vermezler. Dolayısıyla SNMP sorguları açık sistemleri belirlemede etkisiz kalmaktadır. Acak ormal kullaıcılar yerel ağ trafiği büyük bölümüü oluşturmaktadır ve takibii faydaları açıktır. Hagi sistemleri o ada açık olduğuu ve/veya açık olması gerektiğii bulabilmek veya tahmi edebilmek içi birkaç yötem vardır : 1. ICMP Pig. Hedef IP adresie ICMP-Echo paketi yollar. UNIX türevi ve Widows sistemlerde bu işlem e basit olarak pig komutuyla yapılmaktadır, dolayısıyla yötem de bu şekilde ismledirilmiştir. ICMP Paketleri Raw Soket kulladığı içi platforma özel uygulama gerektirir. Güvelik duvarı bulua sistemler bu paketleri değerledirmeye almazlar, bu yüzde bu şekilde elde edile veriler çok da güveilir olmamaktadır. 2. TCP Pig. Hedef IP adresii öcede belirlemiş bir portua (ör. 8/tcp) bağlatı isteği yollaır. Bağlatı kabul edilirse sistemi açık olduğu ortaya çıkar, bağlatıı karşı tarafta reddedilmesi de açık olduğuu ortaya çıkarır. Güvelik duvarı bulua sistemlerde kısme daha iyi souç verir, acak ICMP Pig e göre daha yavaş souç alıır. 3. Pasif Dileme. Yukarıdaki yötemler gerek sisteme, gerekse ağa yük getirmektedir. Ayı zamada güvelik duvarı bulua sistemleri belirlemede başarı oraı düşüktür. Pasif dileme yaklaşımı sistemleri farklı hizmetler içi yolladıkları paketleri dilemesi ve değerledirilmesi esasıa dayaır. Öreği güvelik duvarı kullaa bir kullaıcı bilgisayarı gele ICMP Echo ve TCP Bağlatı isteği paketlerii reddedecektir, acak ayı kullaıcıı bir ftp suucusua bağlaırke oluşturduğu trafik yakalaabilirse sistemi açık olduğuu ispat edecektir. Bu paket trafiğii iyi seçilmiş bir örekleme aralığı içide (ör. 5 dk. ) dilemesi ise zamasal lokalite presibie dayaarak açık sistemler hakkıda fazlada bilgi sağlayacaktır. Açık sistemleri belirlemesi içi pig ve pasif dileme tekikleri kedi başlarıa kullaılabilir. Acak bu iki yötemi kombiasyouu kullaılmasıı sağlayacağı fayda açıktır. A = { Pasif dileme soucu açık olduğu bilie veya tahmi edile sistemleri IP adresleri } A * = {Açık olduğu kabul edile sistemleri IP Adresleri} ip = { belirli bir IP adres bloğu : ör. 193.14.248./22 veya 192.168../24 gibi } ip j-k j ici IP bloğuu k ıcı elemaıı, ve IPB = { belirli IP adres blokları } temsil etmek üzere /* Açık ve ağa bağlı bilgisayarları belirlemesi*/ Prosedür : Açık Sistemleri Belirlemesi : IPB i her elemaı ip j içi Başla : ip j i her elemaı ipj-k içi Başla : Eğer ip j-k A devam et Diğer durumda pig(ip j-k) Eğer cevap gelirse A* = A* ip j-k 2.2.4 TOPOLOJİ BELİRLEME ALGORİTMASI VE İŞLEYİŞİ Bu aşamada öce yapıla işlemler ile elde edile bilgilere bakıldığıda sisteme bağlı cihazları o aki durumları, akıllı olup olmadıkları ve tahmii olarak cisleri belirlemektedir. Yukarıdaki bilgiler ağ yöetim sistemie ve topoloji belirleme algoritmasıa ağa bağlı bulua etheret aahtarlarıı listesi, kullaıcıları ve diğer akıllı cihazları listesi gibi bilgileri sağlamak içidir. Soraki aşamada etheret aahtarları ile ilgili olarak özel bilgiler toplamaktadır. Etheret aahtarlarıda aşağıdaki bilgiler alımaktadır : Sistem Bilgileri (ör. Sistemi isim, yer, taım, çalışabilirlik süresi bilgileri...) Arabirim Bilgileri (ör. Arabirim sayısı, özellikleri ve MAC adresi...) Temel aahtarlama bilgileri (ör. sistemi kedi MAC Adresi, Port sayısı... ) Aahtar Bilgileri (ör. Port-Arabirim Tablosu, MAC Adresi Port Tablosu,...) Aşağıda örek bir MAC Adresi port tablosuu dökümü verilmiştir: Idex No: MAC Adresi Port Durum.32.175.242.1.3 2 AF F2 1 1E 2 leared (3).96.151.119.25.49 6 97 77 19 31 12 leared (3).96.151.159.237 6 97 9F ED A7 26 leared (3) Şekil 1. Örek aktarım tablosu Etheret Aahtarları MAC çerçevelerii aktarımıı yaparke hagi adrese hagi portta yapılacağı bilgisii bu tabloda saklamaktadır. Şekil 1 aktarım tablolarıa bir örektir. Normal çalışma saatleride aa omurgayı oluştura aahtarları tuttukları tablolar yüzlerce satır içermektedir ve sürekli olarak yeilemektedir. Şekil 2 İYTE de bulua 3 Etheret Aahtarı ile ilgili bilgileri göstermektedir. Lowekamp, topoloji belirlemek içi varola adres aktarım listelerii yeterli olduğuu ve fazlada trafik oluşturmaya gerek olmadığıı savumuştur. Acak yie de aahtarları belirlemek ve gerekli bilgileri yükleyebilmek içi herbir aahtarı teker teker sırayla sorgulamasıda büyük yarar vardır. Buu edei ileride açıklaacaktır.
aahtarı MAC Adresi kayıtlıdır. Bu durumda 2. şarta dayaarak.4 ü 12. portu.6 ı 56. portua bağlıdır deebilir. Bu bağlatıyı.4:12.6:56 olarak göstereceğiz..6 ve.9 adreslerii kullaa aahtarlarda ise ilk iki şart bağlatıyı belirlemede yetersiz kalmaktadır. Bu durumda üçücü şart ile bağlatı belirleebilmektedir..9 adresli aahtarı 7. portuda aktardığı MAC adresleride e az ikisi.6 ı e az iki ayrı portu üzeride aktarılmaktadır. Bu durumda.9:7 kabul edilir..9 u 7. portu dışıdaki portlarda aktardığı MAC Adresi ise.6 ı 57. portu üzeride aktarılmaktadır. 3. şarta dayaarak.9:7.6:57 buluur. 2.2.4.2 ALGORİTMA Aşağıdaki algoritmada bütü aahtarları kök kabul edile aahtara bağlı oldukları port, kök port kabul edilmektedir. Bua göre topoloji ağacıı kökü dışıdaki bütü aahtarları belirli bir kök portu olacaktır. Algoritma, ağı oluştura Hubları ve SNMP yüklü olmaya veya SNMP özelliği kapatılmış aahtarları da kapsamaktadır. Şekil 2. Aahtarları aktarım tablolarıa ilişki örek. 2.2.4.1 BASİT BAĞLANTI TEOREMİ VE MİNİMUM BİLGİ GEREKSİNİMİ ŞARTLARI Lowekamp adres aktarma tabloları kullaılarak topolojiyi belirlemede Breitbart ı kulladığı Doğruda Bağlatı teoremi yerie Basit Bağlatı teoremii öermiştir. Basit Bağlatı Teoremi, iki cihazı birbirlerie doğruda yada dolaylı olarak birbirlerie bağlı olmaları durumlarıı ifade eder, varola ağdaki yerleşim hakkıdaki bilgilerde topoloji hakkıda çelişki oluşturacak ve olası olmaya durumları dışlayarak Etheret aahtarlarıı birbirlerii gör dükleri portları belirleebilmesi içi üç şartı gerekli ve yeterli olduğuu belirtir. Aahtarlar ve MAC Adresleri A ve B olsu. A ı i ci portuda gördüğü MAC Adresleri Ai ile belirtilsi. Bi ise B i j ci portuda gördüğü MAC Adresleri olsu. 1. A, B i MAC Adresii A ı i. ci portuda, B de A yı j ci portuda görmektedir. 2. A, B i MAC Adresii A ı i ci portuda görmektedir, B i j ici portuda gördüğü iki MAC adresi C ve D olsu. A, herbiri i de farklı k ve l icı portlarda aktarılmaktadır. 3. A ı i ici portuda gördüğü bir MAC Adresi E olsu. Bu B i j ici olmaya bir portuda gözükmektedir. B i j ici portuda gördüğü iki MAC Adresi, C ve D, A da herbiri i de farklı k ve l ci portlarda aktarılmaktadır. Akıllı Etheret aahtarları Spaig Tree Protocol uygulamadığı durumlarda sadece kedilerie paket geldiği zama cevap verirler. Bu yüzde birbirlerii yerleri hakkıda sahip oldukları bilgiler acak başka bir aahtara yöelik paketleri aktarmaları ile olur. Aahtarları birbirlerii de görebilmeleri içi e başta bütü aahtarlara paket yollamak daha sora da adres aktarımı bilgilerii yüklemek büyük kolaylık sağlamaktadır. Bu işlemi yapılmaması birici şartı ortaya çıkmasıı zorlaştırmaktadır. Şekil 2 de adres aktarım tabloları verile üç aahtarda IP Adresi.4 ola aahtar.6 ve.7 IP adreslerii kullaa aahtara 12. portuda bağlıdır..6/.7 adreslerii kullaa aahtarı 56.portuda.4 adresli SW={Topoloji Belirlemede Kullaılacak Etheret Aahtarlar } Kök={ Topoloji ağacıı kökü kabul edilecek aahtar } Prosedür TopolojiBelirle(Kök) BaşlagıçKöküüBelirle(); Kök Aahtarı her bir portu i içi AltTopolojiBelirle( Kök, i ); Prosedür AltTopolojiBelirle( Kök Aahtar, i ) Başla. Kök = KökAahtarıBelirle(Adaylar, Liste); Kök Aahtarı her bir portu i içi AltTopolojiBelirle( Kök, i ); Prosedür KökAahtarıBelirle(Kök, KökPort, Adaylar, Liste) Her bir aday aahtarı (A i ) kök portuu belirle; Kökbuludu = Yalış; Eğer OrtakSegmetiBul(Kök, KökPort, Adaylar) {} H = HubOluştur(); YeiKök = H; Geri dö; Her bir aday aahtar A i içi ve Kökbuludu = Yalış ike Başla : KökOlabilir = Doğru ; Listedeki A j (i j) içi ve KökOlabilir = Doğru ike Eğer A i, A j ile kök portuda bağlıysa KökOlabilir = Yalış; Diğer durumda Devam et; Eğer KökOlabilir = Doğru ise KökBuludu = Doğru; YeiKök = A i ; Geri dö;
/* Hiçbir aahtar kök olamaz veya Aday = {} ise Hub veya SNMP bulumaya Etheret Aahtarı */ OrtakSegmetBul(Kök, KökPort, Adaylar); H = HubOluştur(); YeiKök = H; Geri dö; 2.2.4.3 PAYLAŞILAN SEGMENTLERİN TESPİTİ Eğer ağ içide iki aahtar birbirie bir Hub veya SNMP özelliği bulumaya veya kullaılamaya bir aahtar ile bağlamış ise bu iki aahtar aralarıda paylaştıkları bir segmeti varlığıda haberdar olmayacaktır. İki aahtar da de bu segmete bağlı MAC adreslerii sırada adresler olarak göreceklerdir. Acak ortak segmeti varlığı aşağıdaki yötem ile ortaya çıkarılabilmektedir. Böylece iki aahtarı arasıda bir hub olduğua (SNMP özelliği kullaılmadığı takdirde aahtarlar da hub olarak kabul edilebilir ) karar verilir, topolojideki hata giderilebilir. A i : A ı i ci portuda kayıtlı MAC Adresleri Listesi Prosedür OrtakSegmetiBul(Kök, köküportu k, Adaylar ) OrtakSegmet = Kök k Adaylar içideki her bir elema A i içi Ortak Segmet = Ortak Segmet Α i 2.2.4.4 ALGORİTMANIN İŞLEYİŞİNE ÖRNEK Aşağıdaki şekilde küçük bir bilgisayar ağı görülmektedir. Ağa bağlı 5 akıllı aahtar, bir adet Hub, bir suucu ve birkaç tae de kullaıcı gözükmektedir. Topoloji Algoritması aşağıdaki örek ağda aşağıdaki gibi çalışmaktadır : Kök = A; A:1 içi AltTopolojiBelirle(A); AltTopolojiBelirle(Kök) Adaylar = {A 1 portu ucudaki aahtarlar } Adaylar = {D, E, C, F, G } OrtakSegmet = {} Kök Adayı : D D:18 E:26 /* D E ile bağlatısıı kök port üzeride yapmıştır. Bu durumda D,E,C arasıda D kök olamaz.*/ E:26 D:18 /* E, D ile bağlatısıı kök portu üzeride kurmuştur. Bu durumda E de kök olamaz. */ C:16 D:18 C:14 E:26 C:16 F:1 C:16 G:13 /* C iki bağlatısıı da kök portu üzeride yapmamıştır. Adaylar arasıdaki kök C dir.*/ Aahtar bulumadığı durumlar: D:2 içi AltTopolojiBelirle(D) Adaylar = {F, G} OrtakSegmetBul(D, 2, {F, G}) Başla : /* Aahtarları Adres Aktarım Tabloları : D:2 = {F, User-1, User-2, User-3, G} F:26 = { User-1 } F:14 = { User-2 } G:13 = { User-1, User-2 } G:5 = { User-3 } */ OrtakSegmet = D:2 = {F, User-1-2-3, G} {F, G} i her bir elemaı A:kök Başla : OrtakSegmet = OrtakSegmet A i /* Eğer ortak segmet yoksa { } döecektir. */... OrtakSegmet = { User-1} H = HubOluştur(OrtakSegmet, Hub-Z); Kök = H; Geri dö;... AltTopolojiBelirle(Hub-Z);... 2.3 SONUÇ Şekil 3. Algoritmaı işleyişie dair örek ağ Fiziksel ağ topolojisii bilimesi ağ yöetimi açısıda oldukça büyük öem taşımaktadır. GuardiLAN topoloji belirleme uygulamasıda büyük orada ilerleme kaydedilmiş, acak gerek ağı iç soruları gerekse uygulamada kayaklaa soruları da eklemesiyle heüz tamamlaamamıştır. Basit Bağlatılarda A:1 D:18 ifadesi A ı 1.portuu D:18 portu arasıda basit bağlatı buluduğuu göstermektedir. Aahtar hiyeraşisii belirlemesi şu şekilde olmaktadır: Kök : A SW = {A, B, C, D, E, F, G} Topoloji Belirle()
3. IP-MAC ADRESLERİNİN KONTROLÜ 3.1 GİRİŞ Temel ağ protokolleri, yerel ala ağları içi yeterli yöetim ve güvelik kotrolü gereksiimlerii tam alamıyla karşılayacak şekilde tasarlamamıştır, acak bu protokolleri ve bize suduğu özelliklerii kullaarak, çeşitli tasarım araçları ile ağı kotrolü sağlaabilecek, dışarıda girişler bakımıda ağı güveliği deetleyebilecek, IP ve MAC adresleri tablosu ile ağı mevcut yapısıda karşılaşılabilecek uyumsuzluklar durumuda kullaıcılar hata mesajlarıyla uyarılacak ve programı iteret arayüzü ile çeşitli kullaım bilgilerie ulaşılabilecek bir sistem oluşturmak mümküdür [14]. IP - MAC kotrolü projesi, İzmir Yüksek Tekoloji Estitüsü kampüs alaı yerel ağı içeriside yöetimsel bir araç olarak kullaılmak üzere güvelik ve görütüleme gereksiimleri karşısıda ortaya çıkmıştır. Temeldeki amaç, bu proje ile birçok ayrı projei birlikte güçlü bir ağ yöetim sistemi oluşturmasıdır. 3.2 AĞ GÜVENLİĞİ - "Spoofig Attack" Yerel ala ağlari içi öemli güvelik tehditleride biri de Spoofig Attack saldırı türüdür. Burada saldırı, ağı içide güveile bir kayakta geliyormuş gibi algıladığı içi, bir saldırı olarak belirlemek zordur. Güveile bir IP adresi ile paket alışverişi yapılırke, ayı zamada o IP 'i sahibii gerçekte güveile termial olup olmadığı kotrul edilmeli, "Autheticatio" işlemi yapılmalıdır. Kullaıcı, güveile bir termiali IP adresii ele geçirerek bir saldırı düzeleyebilir ve sadece o termiali ulaşmasıa izi verile servislere ya da kayaklara ulaşabilir [15]. 3.3 ADRES ÇÖZÜMLEME PROTOKOLÜ (ARP) Adres Çözümleme Protokolü (ARP), her tür yayı ağıda kullaılabile OSI birici katma adresleri ikici katma adreslere çözümleye, ikici katmaa ait geel bir protokoldür. Etheret ortamıda kullaıla ARP paket formatı Şekil 4' de gösterilmiştir. Paketi başlık bilgileride sora gele 64. bitte itibare 6 bayt, yai 48 bit veri kayak termiali MAC adresi, soraki 4 bayt IP adresi bilgilerii taşır. Buda sora gele 6 baytta hedef termiali MAC adresi ve ardıda gele 4 baytta de hedef termiali IP adresi bilgileri yer alır [16]. Şekil 4 - ARP Paket Formatı Şekil 5. IP-MAC Kotrolü Örek Arayüzü Termialler, yerel ala ağıa dahil olduklarıda ağ içideki diğer termiallerle veri alışverişide buluabilmek içi ARP paketleri yayılarlar. Bu paketler, ağa dahil ola tüm termiallere ulaşır acak hedef IP adrese sahip ola termial bu pakete cevap verir. 3.4 IP - MAC KONTROL PROGRAMI IP ve MAC adres kotrol programı ilk olarak etheret kartıı dileme modua alır, bu şekilde ağ içide programı çalıştığı termiale ulaşa tüm ARP paketlerii birer kopyaları alıır ve kullaım amacıa göre kotrol edilerek uygulamaya göre gerekli paketler süzülür. Bu süzme işlemide sora program, dahil olduğu ağ içideki termialleri tespit etmek içi iki temel yol kullaır, bular aktif ve pasif dilemedir. Pasif dilemede temel matık, ağa dahil ola tüm makiaları ağ geçidi olarak belirlemiş makiaya bir ARP pakedi yollayacağı göz öüde buludurularak, ağ içide yayılaa ve hedef termial adresi ağ geçidi ola ARP paketlerii dilemesi yoluyla herhagi bir makiaı açık olup olmadığı ve aktif olarak e so e zama kullaıldığı gibi bilgileri elde edilmesidir. Aktif dilemede ise, veritabaıda tutula kullaıcı bilgilerie göre belirlemiş ola sürei üzeride trafik oluşturmamış ola termialler ile ICMP mesajları yoluyla bağlatı kurulmaya çalışılır. Eğer termial açık acak belirli bir süre boyuca ağ içide trafik oluşturmamış ise de bu yolla ağa dahil olup olmadığı belirleir. Souç olarak, elde edile ARP paketleri ikici bir süzme işlemide daha geçirilir ve programı kotrol mekaizmalarıa göre sııfladırldıkta sora, alamlı bayt gruplarıa parçalaır. Öreği paketi 9. baytı ile15. baytı arasıdaki bölüm kayak termiali MAC adres bilgisii, 19. baytı arasıdaki bölüm IP adres bilgisii taşımaktadır. Bu şekilde kayak ve hedef termialleri IP ve MAC adresleri elde edilir. ARP paketlerii parçalaması ile kotrol işlemi içi gereli bilgi toplamış olur. Daha sora program, güveilir kullaıcı IP ve MAC adresleri eşlemesii içere veritabaıda, değişik sorgularla güveilir IP ve MAC adresleri eşleştirmesii alır ve ARP paketleride elde edile bilgilerle karşılaştırır. Karşılaştırma soucuda herhagi bir uyumsuzluk tesbit edilirse, program veritabaıdaki gerekli bölgeleri değiştirir ve
Java Suucu sayfaları şeklide tasarlamış arayüzde uyarı mesajı oluşturulur. Bu işlem soucuda Akıllı Bat Geişliği Yöetimi programı, tespit edile IP adresie ait bat geişliğii kısıtlayacaktır. Herhagi bir uyumsuzluk saptamadığı durumda ise program yakalaacak bir soraki ARP paketie kadar bekleyecek ve bir soraki ARP paketi içi tekrar ayı işlemleri yapacaktır. Programı IP ve MAC adreslerii kotrolü yaıda, yakaladığı paketlerde topladığı çeşitli verileri veritabaıa işlemesi ile ağ içide sorgu yapıldığı ada tespit edile açık termialleri sayısı, bu termialleri e so e zama trafik oluşturdukları ve termiallere ait bazı kullaıcı bilgileri yie programı ağ erişimli arayüzü ile ediilebile bilgilerdir. 3.5 IP-MAC KONTROLÜ İŞLEVSEL VE MİMARİ YAPI Proje işlevsel olarak değerledirildiğide iki temel görevi yerie getirmektedir. Bular ağ güvelik foksiyou ve ağ görütüleme foksiyoları olarak isimledirilebilir. Güvelik foksiyou kapsamıda, "spoofig attack" olarak isimledirile, ağ içide güveilebilir olarak belirlemiş kullaıcılar yerie geçme olarak açıklayabileceğimiz saldırılara karşı ağ içide trafik oluştura IP adreslerii sürekli ayı MAC adresleri tarafıda kullaıldığıı kotrol ede bir program yer almaktadır. Şekil 6' da programı yapısıı ve çalışma presibii alata sistem diagramı görülmektedir. Ağ görütüleme foksiyouda ise güvelik açısıda yapıla kotroller soucuda elde edile verileri işleip termiallere ait kullaım istatistik bilgilerii elde edilmesi ve buları iteret erişimli bir arayüzde birleştirilmesi sağlamıştır. İşlevsel olarak iki alt bölümde iceleebile bu proje, mimari olarak icelediğide 4 ayrı bölümde oluşmaktadır. Bular sırasıyla şöyledir; Paket Yakalama Paket Süzme ve Verileri Kotrolü Verileri birleştirilip Veritabaıa Girişi Verileri Yorumlaması ve İteret Erişimli Arayüz ile Raporlaması Şekil 6. IP - MAC Kotrolü Sistem Diagramı 3.6. SONUÇ IP MAC kotrol programı, kampüs ala ağıı değişik yoğuluklar gösterdiği gü ve saatlarde çalıştırılarak, ortalama ARP paket yayı sayıları ve ağ kullaım oraları belirlemiştir. Buu soucuda, ARP histogramları oluşturulmuş ve programı bir termial içi pasif dilemede aktif dilemeye geçiş süresii 2 dakika olmasıa karar verilmiştir. 2 dakika boyuca trafik oluşturmaya termialler, aktif dilemeye de cevap vermemeleri durumuda kapalı olarak belirleir ve veritabaıda o termiale ait alalar düzelemesi sağlaarak ağ erişimli arayüzde, o termial içi açık/kapalı bilgisi, e so tarfik oluşturdukları tarih ve saat ile ağ içide toplam açıklık/kapalılık bilgileri gösterilir. Programı Akıllı Bat Geişliği Yöetimi ile birlikte çalışmasıyla ağ içideki belirli saldırı ya da yei eklee güveilmeye termialleri bat geişliğii otomatik olarak sıfırlaması ve ağ yöeticisii uyarılması sağlamış, program ağ içideki güvelik düzeyii yükseltmiştir. Ayrıca programı ağ ile ilgili düzeli kayıt tutmasıyla, belli başlı ağ kullaım verileri zama eksei üzeride sııfladırılmış, ağ yöeticisi içi kullaışlı olabilecek ağ kullaım veri blokları oluşturulmuştur. 4. AKILLI BANT GENİŞLİĞİ YÖNETİMİ 4.1. GİRİŞ Iteret i kullaımı geişlerke, uzakta öğreim, video koferas, e-ticaret gibi yei uygulamaları da geliştirilmesiyle daha yüksek bat geişliklerie ihtiyaç duyulmaktadır. Her yazılımı, bat geişliği, gecikme, gecikme sürelerideki değişim ve buluabilirlik açısıda kedie özgü gereksiimleri olmaktadır. Iteret Protokol (IP) tabalı ağlar e uygu eforda servis sağlamaktadır. IP, paketleri hedefe zamaıda veya belli bir gecikme süresi içeriside ulaşma garatisi vermez. Bazı paketler sıkışma edeiyle kaybolabilir. Bütü paketler farklı ihtiyaçlar duyabilmekle beraber, eşit olarak ele alımaktadır. Çoğu uyguluma içi bu kabul edilebilir değildir. Servis Kalitesi kullaıcıları temel olarak servis kullaımlarıı garatilemesi ve daha iyi hizmet verilmesidir. Bu da acak, veri akışıı sııfladırılarak belli kurallara göre öcelik verilmesiyle olabilmektedir. Geçmişte, bu soruu e kolay çözümü mevcut bat geişliği kapasitesii artırılmasıydı. Fakat bat geişliğii sürekli artırmak mümkü değildir. Bugüe kadar bat geişliklerii kullaıcı ve trafik bazıda ayarlamasıı sağlaya bir çok mekaizma geliştirilmiştir. Acak kullaıcıları kulladıkları bat geişliğii el ile ayarlamak çok zor ve çok zama gerektire bir işlemdir. Bu edelerde dolayı ağ üzeride Servis Kalitesii sağlamak içi akıllı bir yöetime gereksiim duyulmaktadır. Bu bölümde İzmir Yüksek Tekoloji Estitüsü yerel bilgisayar ağı içi geliştirile Akıllı Bat Geişliği Yöetimi uygulaması ayrıtılı olarak açıklaacaktır. Bu projei geliştirilme amacı yerel bilgisayar ağı üzerideki trafiği e iyi şekilde kullaımıı sağlamaktır.
4.2. SERVİS KALİTESİ NEDİR? Servis Kalitesi (QoS) birçok farklı tekolojiyi kullaa ve ağ üzeride kabul edilebilir bir trafik kullaımı sağlaya bir tekiktir. Servis Kalitesi, bat geişliği, gecikme, paket kaybı gibi parametrelere sahiptir. Normalde, ilk gele ilk servis edilir matığı geçerlidir. Fakat Servis Kalitesi bir trafik polisi gibidir. Trafik polisi öceliği olmaya araçları bekletir, ambulasa ise yola devam etme izi verir. Dikkat edilmesi gereke okta; Servis Kalitesi sıkışmaları ölemez veya düşürmez, trafikteki sıkışma alarıda sadece trafiği öceliklere göre akışıı sağlar. İki temel Servis Kalitesi tipi mevcuttur: Kayak Rezervasyou : Ağ kayakları, bat geişliği kotrol politikasıa bağlı olarak, uygulamaları Servis Kalitesi isteklerie göre ayrılmaktadır. Öcelikledirme : Ağ trafiği, bat geişliği politikasıa bağlı olarak sııfladırılmaktadır. Daha çok gereksiimi ola uygulamalara, bu sııfladırma metoduyla öcelikli haklar taımaktadır. 4.3. tc Komutu ve SNORT So zamalardaki Liux çekirdekleride (2.4.2 ve üzeri), öcelikledirme mekaizmasıı uygulamasıı sağlaya komutu adı tc (traffic cotrol) dir. tc komutu başlıca kuyruk mekaizmalarıyla (qdiscs), sııflarla (classes) ve filtreleme mekaizmalarıyla (filters) uğraşmaktadır. Bütü bular sisteme sırayla tc qdisc, tc class ve tc filter şeklide bildirilmektedir. Sort ise bir Ağ Temelli Saldırı Tespit Sistemi dır. GPL lisaslı olarak dağıtılmaktadır. Farklı platformlarda (UNIX, MS-Widows) çalışabilmekte olup modüler bir mimariye sahiptir [17]. Sort belirlemiş kurallara göre ağ üzerideki her paketi iceler ve belirlemiş kural meydaa geldiğide gerekli uyarıyı Sort uyarı (/var/log/sort/alert) dosyasıa yazar [18]. 4.4 AKILLI BANT GENİŞLİĞİ YÖNETİM ARACININ GELİŞTİRİLMESİ İzmir Yüksek Tekoloji Estitüsü yerel ağıda 1 e yakı kişisel bilgisayar kullaıcısı bulumaktadır. Toplam bat geişliğii 8Mbps olduğu düşüülürse, her kullaıcıya ortalama 8kbps bat geişliği düşmektedir. Ayrıca, mevcut bat geişliğii büyük bir miktarı mp3, video, divx, vb. dosya dowload işlemleri ile tüketilmektedir. Bu durumda mevcut bat geişliğii daha etkili kullaımıı sağlamak içi akıllı bat geişliği yöetim aracı geliştirilmiştir. Akıllı bat geişliği yöetim aracı şu görevleri yerie getirmektedir: Kullaıcı bilgilerii ve kullaım politakılarıı tutmak içi basit bir veritabaı Kullaıcı bat geişliği kullaımlarıı hesaplaması Kullaım kuralları Bat geişliğii paylaştırmak içi karar verme mekaizması Bat geişliği kullaımlarıı izlemek ve değiştirmek içi yöetici ara yüzü Şekil-7. Bilgisayar Ağıı Geel Görüümü 4.5 MODÜLLER 4.5.1 ORTAK VERİTABANI Ortak veritabaı Servis Kullaım Bulma Modülü, Java RMI Server ve Yöetici Arayüz Modülü ve Bat Geişliği Hesaplama ve Atama Modülü tarafıda ortak olarak kullaılmaktadır. Veritabaı İsmi : Badctl Tablo İsmi : Users Alalar Özellikler uid:it Kullaıcı No ip: varchar Kullaıcı Ip Adresi up_mi: it Garatilemiş upload bat geişliği up_max: it Maksimum upload bat geişliği dow_mi: it Garatilemiş dowload bat geişliği dow_max: it Maksimum dowload bat geişliği prio: it Kullaıcı öceliği ( 1-5 ) serv1: boolea Servis 1 Kullaımı serv2: boolea Servis 2 Kullaımı serv3: boolea Servis 3 Kullaımı serv4: boolea Servis 4 Kullaımı serv5: boolea Servis 5 Kullaımı speed_dow:it ataa dowload bat geişliği speed_up:it ataa upload bat geişliği Maual: boolea ataa hızı türü, otomatik/el ile Tablo 1. Ortak veritabaı yapısı serv{1,2,3,4,5} alalarıda kullaıcıı bu trafiği kullaıp kullamadığıı alık olarak saklaır. 4.5.2 SERVİS TİPİ TESPİT MODÜLÜ İlk olarak e çok kullaıla servisler belirledikte sora, bulara kedi aralarıda Tablo 2 de görüle öcelikler verilmiştir. Bu öcelik değerleri bat geişliği paylaştırma algoritması tarafıda kullaılacak olup ileride açıklaacaktır. Servisler ve öcelik katsayıları Servis1 Servis2 Servis3 Servis4 Servis5 Yasak Site HTTP & POP3.zip.rar vb..divx.mpeg Ziyaretleri FTP & dosya vb büyük Kullaımı SMTP trasferleri dosya trasferleri.5.3.3.2.15 Tablo 2: Servisler ve öcelik katsayıları Ağ üzerideki servis kullaımlarıı izlemek içise Sort kullaılmıştır. Tablo 2 de görüle 5 farklı servis kullaımı içi Sort programı ayarları şu şekilde yapılmıştır:
Servis 1 : Yasak Site Ziyaretleri alert tcp ay ay->ay ay (cotet-list:"rule1.txt";msg:"rule1";) Servis 2 : HTTP ve FTP Kullaımı alert tcp ay ay -> ay 8 (msg:"rule2";) Servis 3 : POP3 & SMTP alert tcp ay ay -> ay 11 (msg:"rule3";) Servis 4 :.zip.rar vb. dosya trasferleri alert tcp ay ay -> ay ay (cotet-list:"rule4.txt";msg:"rule4";) Servis 5 :.divx.mpeg vb büyük dosya trasferleri alert tcp ay ay -> ay ay (cotet-list:"rule5.txt";msg:"rule5";) Kural1, kural4 ve kural5 yazı dosyasıa kaydedilmiş kelime izlerii içere paketler içidir. Kural2 ve kural3 ise çok kullaıla servis portlarıı izlemek içidir. Belirlee servislere göre Sort ağı izlemekte ve uyarı mesajları vermektedir. Tablo 3 de yerel ağa bağlı ola 193.14.25.65 IP adresli istemci makiei servis3 kullaımı içi verile uyarı mesajı görülmektedir. [**] [1::] rule3 [**] [Priority: ] 5/27-14:25:39.75667 193.14.25.65:115 -> 199.237.72.126:8 TCP TTL:128 TOS:x ID:393 IpLe:2 DgmLe:4 DF ***A**** Seq: x89f2c9a9 Ack: xa3e619b1 Wi: x42c8 TcpLe: 2 Tablo3. Örek Sort uyarı mesajı Tablo 3 deki Sort uyarı mesajlarıda gerekli kısımlar bir perl programı yardımıyla alıır ve veritabaıa yazılır. 4.5.3 JAVA RMI SERVER ve YÖNETİCİ ARAYÜZ MODÜLÜ Java Server veritabaıdaki verileri göstermek ve bat geişliği ayarlarıı sistem yöeticiside almak içi kullaılır. Java Applet ve RMI tekolojisi kullaılarak web desteği sağlamıştır. Java Server, kullaıcıları bat geişliği kullaımlarıı Hız Tespit Modülü de düzeli olarak alır ve bu verileri yöetici arayüzüde alık olarak gösterir. Böylece kullaıcıları bat geişliği kullaımlarıı ve ayrıca servis kullaım bilgilerii izlemek mümküdür. İsteilirse kullaıcı bat geişliği kullaım kısıtlamaları el ile de ayarlaabilir. Şekil 9. Yöetici Arayüzleri 4.5.4. HIZ TESPİT MODÜLÜ Hız tespit modülü ağ üzeride geçe her paketi iceler, her paketi boyutuu alarak dowload / upload türüe göre her kullaıcı içi kaydeder. Hızdaki ai değişimler içi alçak geçire filtreleme kullaılmakadır [19]. Bua göre hız değeri e so o değeri ortalaması alıarak elde edilir. Her bir makie içi bit/s ciside hesaplaa hız değerleri, Hız Tespit Modülüde Java RMI Server a göderilir. Şekil 1. Java RMI Server ve Hız tespit Modülü içi Veri Akış şeması 4.5.5 BANT GENİŞLİĞİ HESAPLAMA VE ATAMA MODÜLÜ Bat geişliği hesaplama modülü veritabaıda gerekli bilgileri alarak, aşağıda açıklaa algoritma yardımıyla her kullaıcı içi bir bat geişliği değeri hesaplar. 4.5.5.1 ALGORİTMA Şekil-8. Java RMI Server ve Yöetici Arayüzü Veri Akış Şeması Terimler ve kullaıla değişkeler: Toplam upload bat geişliği : total_up_bw Toplam dowload bat geişliği : total_dw_bw Üiversite kullaıcıları: {C 1, C 2,..,C } Her kullaıcı içi servis kullaım değişkeleri:
{s 1, s 2, s 3, s 4, s 5 } Her kullaıcı içi öcelik değerleri : {C 1 p, C 2 p,..., C p} Servis toplam upload bat geişliği kullaımları : {S 1 up, S 2 up, S 3 up, S 4 up, S 5 up} Servis toplam dowload bat geişliği kullaımları : {S 1 dw, S 2 dw, S 3 dw, S 4 dw, S 5 dw} Servis öcelik değerleri: {S 1 p, S 2 p, S 3 p, S 4 p, S 5 p} Öcelik değerleri toplamı: Sp_total Kullaıcı öcelik değerleri toplamı: Cp_total Her servis içi toplam kullaım değerleri: {S 1 k, S 2 k, S 3 k, S 4 k, S 5 k} Her kullaıcı içi isteildiğide el ile ataa maksimum upload hızı: {C 1 m_up, C 2 m_up,...,c m_up} El ile ataa upload hızları toplamı: M_up El ile ataa dowload hızları toplamı: M_dw El ile atama ayarlarıı tuta ala: m, eğer m değerii alırsa hız atama otomatik, 1 olursa el ile olacaktır. Otomatik ataa upload hızlarıı toplamı: O_up Otomatik ataa dowload hızlarıı toplamı: O_dw Her kullaıcı içi isteildiğide ataa maksimum dowload hızı: {C 1 m_dw,c 2 m_dw,,c m_dw} Her kullaıcı içi otomatik olarak ataa maksimum upload hızı: {C 1 up, C 2 up,...,c up} Her kullaıcı içi otomatik olarak ataa maksimum dowload hızı:{c 1 dw,c 2 dw,,c dw} Hız Tespit Modülü Çalışma Algoritması: 1. Mauel atamalar içi toplam upload ve dowload bat geişliği değerleri hesaplaır. M_up = Cim _ up * mi M_dw = Cim _ dw * mi 2. Elde edile toplamlar geel toplamda çıkarılır, geriye kala değer diğer kullaıcılar arasıda otomatik olarak paylaştırılır. O_up = total_up_bw M_up O_dw= total_dw_bw M_dw 3. Toplam servis kullaımları hesaplaır. S 1 k= Cis1, S 2 k = Cis2, S 5 k = Cis5 Kullaıla servisleri öcelik değerleri toplaır. Sp_total = { Sip Sik > } 4. Servis kullaımlarıa göre mevcut bat geişliği, kullaımdaki servisler arasıda paylaştırılır. S 1 up = S 1 p / Sp_total * O_up S 1 dw= S 1 p / Sp_total * O_dw Her bir servis içi bu tekrarlaır. 5. Kullaıcı öcelik değerlerii toplamı buluur. Her bir kullaıcıya kulladığı servis içi mevcut o servis kapatasiteside kullaıcı öceliği ve toplam servis kullaımıa göre bat geişliği ataır, ataa değerler toplaarak kullaıcı içi toplam bat geişliği değeri buluur. Cp_total = Cip Ciup =[ ( Cis 1 / S 1 k ) + + ( Cis 1 / S 1 k ) ] * (S 1 up*cip / Cp_total ) Cidw =[ ( Cis 1 / S 1 k )+ + ( Cis 1 / S 1 k ) ] * (S 1 dw*cip / Cp_total ) 6. Her kullaıcı içi hesaplaa C i up, C i dw değerleri veritabaıa kaydedilir. 7. Bat geişliği atama modülü ile otomatik ve el ile ataa değerler veritabaıda alıarak tc komutu yardımıyla sistem yei değerlerle kofigüre edilir. 4.5.5.2 ALGORİTMANIN ÇALIŞMASINA ÖRNEK Sistemi kullaa aktif 3 kullaıcımız olsu (C 1,C 2,C 3 ), birici kullaıcı (C 1 ), servis1 (C 1 s 1 ), servis2 (C 1 s 2 ), servis5 (C 1 s 5 ) kullası, ikici kullaıcı (C 2 ), servis2 (C 2 s 2 ), servis3 (C 2 s 3 ), servis4 (C 2 s 4 ), üçücü kullaıcı (C 3 ), servis2 (C 3 s 2 ), servis3 (C 1 s 2 ), servis5 (C 1 s 5 ) kullası. Bu kullaıcıları öcelik değerleri sırasıyla 4, 5, 4 ve toplam bat geişliği de 5Kb (Upload), 1Kb (Dowload) olsu. Tablo 1 e göre, her servisi öcelik değerleri sırasıyla.5,.3,.3 ve.15 tir. Toplam servis kullaım değeri.8, dolayısıyla servis1 i bat geişliği kullaım değeri.5/.8*5 = 31.25Kb upload ve.5/.8*1 = 62.5Kb dowload tur. Servis toplam kullaımları ise: servis1:1, servis2:3, servis3:2, servis4:, servis5:2 dir. Bu durumda, Servis 1 = 31.25 kb (upload), 62.5 kb (dowload), Servis 2 = 187.5 kb (upload), 375 kb (dowload), Servis 3 = 187.5 kb (upload), 375 kb (dowload), Servis 4 = kb (upload), kb (dowload), Servis 5 = 93.75 kb (upload), 187.5 kb (dowload), Kullaıcı öcelik değerlerii toplamı: 4+5+4 = 13 Birici kullaıcı içi toplam upload bat geişliği = 1/1*31.25+1/3*187.5+++1/2*93.75 = 14,63 Birici kullaıcı içi toplam dowload bat geişliği = 1/1*62.5+1/3*375+++1/2*187.5 = 281,26 Görüldüğü gibi, servis1 i kullaa sadece 1 kullaıcı olduğuda servis1 e ayrıla bat geişliğii tümüü kullamaktadır. 4.6. SONUÇ Bat geişliği yöetimii otomatik ve mauel olarak yapılabilmesi sağlamıştır. Kullaıcı sayısı ve kullaıla servisler sürekli büyürke, akıllı bat geişliği yöetimii
optimum çözümü getireceği düşüülmektedir. Geliştirile akıllı bat geişliği mekaizması sayeside toplam bat geişliği kullaımıı belirli bir değerde tutulması ve trafik tiplerii öcelikledirmek suretiyle bat geişliğii paylaştırılması sayeside geiş ala ağı çıkışıı kurum politikasıa uygu olarak kullaılması sağlamıştır. 5. GELECEK ÇALIŞMALAR GuardiLAN projeside, topoloji belirleme çalışması veri bağlama katmaı seviyeside yapılmakta olup, heüz tamamlamamıştır. Bu projei tamamlamasıı ardıda, topolojii ağ katmaı seviyeside belirlemesi yöüde çalışmaya devam edilmesi hedeflemektedir. Geel sistem güveliğii artırılması ve ağı takibii daha kolaylaştırılması amacıyla geliştirilebilecek projeler sadece geliştiricileri hayaliyle sıırlıdır. Geliştirilmiş ve gelecekte geliştirilebilecek ola ağ yöetimi ve güveliği projelerii GuardiLAN a etegrasyou ortak veri tabaı ve web ara yüzü sayeside kolaylıkla sağlaabilecektir. KAYNAKÇA [1] Hewlett Packard Ope View. http://www.opeview.hp.com/ [2] CAIDA Tools : Skitter. http://www.caida.org/tools/measuremet/skitter/ MIB-II, Iteret RFC-1213 (http://www.ietf.org/rfc/rfc1213.txt ), Mar. 1991. [12] E. Decker, P. Lagille, A. Rijsighai, ad K. McCloghrie, Defiitios of Maaged Objects for Bridges, Iteret RFC-1493 (http://www.ietf.org/rfc/rfc1493.txt ), July 1993. [13] P.Grillo, S.Waldbusser, Host Resources MIB Iteret RFC-1514 (http://www.ietf.org/rfc/rfc1514.txt) September 1993 [14] Otel, Daiel - Some security aspects of lik layer Protocols Departmet of Computer Egieerig, Chalmers Uiversity of Techology [15] Tuğlular Tuğka, Çok Erişimli Ortamları Korumasıa Yöelik Bilgisayar Deetimli Güvelik Spesifikasyoları, Ege Üiversitesi, Fe Bilimleri Estitüsü, 1995. [16] Taebaum A. S., 1996; Computer Networks 3rd Editio Pretice Hall Iteratioal Ic., ISBN : -13-394248-1 [17] The Need for QoS White Paper. http://www.qosforum.com/ [18] Gaur, N., Sort: Plaig IDS for Your Eterprise, July 21. http://www.liux.org/ [19] Çağrıcı Gökha, QoS i IP Networks, May 22. [3] Scotty - Tcl Extesios for Network Maagemet Applicatios. http://wwwhome.cs.utwete.l/~schoew/scotty/ [4] Peregrie Network Tools. http://www.peregrie.com [5] Micromuse Netcool Solutios. http://www.micromuse.com/ [6] Y. Breitbart, M. Garofalakis, C. Marti, R. Rastogi, S. Seshadri, ad A. Silberschatz, Topology discovery i heterogeeous IP etworks, i Proc. of the 2 IEEE Computer ad Commuicatios Societies Cof. o Computer Commuicatios (INFOCOM-), (Los Alamitos, CA), pp. 265 274, IEEE, Mar. 26-3, 2. [7] B. Lowekamp, D. R. O Hallaro, ad T. R. Gross, Topology discovery for large Etheret etworks, i ACM SIGCOMM 21, (Sa Diego, CA), pp. 237 248, ACM, Aug. 27-31, 21. [8] Y. Bejerao, Y. Breitbart, M. Garofalakis, ad R. Rastogi, Physical Topology Discovery for Large Multi-Subet Networks, July 22, Bell Labs Tech. Memoradum. [9] David T. Stott, Layer-2 Path Discovery Usig Spaig Tree MIBs, Avaya Labs. Research, 22 [1] J. Case, M. Fedor, M. Schoffstall, ad J. Davi, A Simple Network Maagemet Protocol (SNMP), Iteret RFC-1157 (http://www.ietf.org/rfc/rfc1157.txt ), May 199. [11] K. McCloghrie ad M. Rose, Maagemet Iformatio Base for Network Maagemet of TCP/IP-based iterets: