Actividad 1: Puesta en marcha inicial

Para poner en marcha NETinVM simplemente hay que descargarse la imagen VMware, descomprimirla y ejecutarla con el programa VMware Workstation Player, que puede obtenerse de forma gratuita de VMware. Además, los alumnos de la UVEG pueden usar el programa comercial VMware Workstation Pro (accesible a través de https://software.uv.es), que tiene características como la gestión de instantáneas (snapshots) que pueden ser muy útiles.

Una vez arrancada la imagen VMware se tiene en marcha base.example.net, que ofrece el escritorio (KDE) del usuario user1 (usuario no privilegiado). Su contraseña, al igual que la del usuario administrador (root) es: "You can change me.", y está almacenada en el fichero "passwords.txt", accesible desde el escritorio. La imagen siguiente muestra el resultado esperado.

Vista de base recién arrancada.

Como puede verse (bandera americana en la barra de control de KDE), la configuración de teclado por defecto es "inglés americano". Por tanto, se recomienda cambiar a teclado español. Para ello es suficiente con hacer clic en la bandera (parte inferior derecha) para que aparezca la bandera de España.

Actividad 2: Familiarizarse con el entorno KDE

Puesto que base incluye un escritorio KDE estándar, cualquier guía de uso de KDE es aplicable a NETinVM. La documentación oficial de KDE, incluyendo guías y tutoriales está disponible en "KDE UserBase". (Aunque el sitio principal está en inglés, también se pueden seleccionar otros idiomas).

En particular, será necesario saber realizar las siguientes acciones:

• Ejecutar aplicaciones utilizando el menú principal (parte izquierda de la barra de control de KDE).

• Ejecutar aplicaciones usando la caja de diálogo "Ejecutar orden" (se obtiene con Alt-F2).

• Desplazarse por los 8 escritorios virtuales.

A continuación se destacan algunos aspectos útiles de la configuración de KDE en NETinVM:

• Se han definido atajos de teclado para lanzar las aplicaciones más utilizadas:

  Atajo	Aplicación ejecutada
  Win-k	terminal (Konsole)
  Win-f	navegador web (Firefox)
  Win-e	explorador de archivos (Dolphin)
  Win-t	editor de textos (Kwrite)
  Win-w	lista de ventanas

• Se han definido atajos de teclado para trabajar con ventanas y escritorios, donde "flecha" quiere decir una de las flechas de dirección:

  Atajo	Acción
  Win-flecha	Cambiar al escritorio superior/inferior/izquierdo/derecho.
  Win-mayúsculas-flecha	Cambiar ventana al escritorio superior/inferior/izquierdo/derecho.
  Win-Ctrl-arriba	Maximizar la ventana
  Win-Ctrl-abajo	Minimizar la ventana
  Win-Ctrl-izquierda	Hacer que la ventana ocupe la mitad izquierda de la pantalla.
  Win-Ctrl-derecha	Hacer que la ventana ocupe la mitad derecha de la pantalla.
  Win-Alt-flecha	Desplazar la ventana hacia arriba/abajo/izquierda/derecha.

• Se ha añadido un icono a la barra de control (inmediatamente a la derecha del menú principal) que muestra la lista de todas las ventanas agrupadas por escritorio. Se puede invocar directamente usando el atajo "Win-w".

• Se ha incluido la contraseña del administrador y del usuario no privilegiado en el portapapeles (aplicación Klipper), (accesible a través de un icono que representa a unas tijeras y que aparece en la parte derecha de barra de control de KDE o, alternativamente, mediante la combinación de teclas Ctrl-Alt-v).

• También se ha incluido la contraseña en el fichero "passwords.txt", accesible desde el escritorio.

Actividad 3: Puesta en marcha completa

Aunque el control real de las máquinas KVM se realiza mediante guiones del intérprete de órdenes, en las versiones recientes de NETinVM se ha preparado, para realizar las tareas más comunes, una vista de carpeta etiquetada "KVM machines" que permite la gestión gráfica del entorno. A continuación se muestra dicha interfaz.

Vista de la interfaz gráfica para el control de las KVM.

Como cabe esperar, haciendo clic en el icono "Run all" (o, alternativamente, ejecutando la orden netinvm_run_all pone en marcha casi toda la capacidad de NETinVM. En concreto, lanza los siguientes elementos:

• los conmutadores virtuales para las redes externa, perimétrica e interna

• las máquinas virtuales KVM fw, exta, inta, dmza y dmzb

Aunque NETinVM está preparada para que se puedan ejecutar seis máquinas virtuales por red (de la 'a' a la 'f'), con estas cinco es posible desarrollar un amplio abanico de actividades (y, lógicamente, cuantas menos KVMs haya en marcha menos cargado estará el sistema).

Cada máquina KVM arranca en un escritorio virtual diferente:

• exta en el 2

• fw en el 4

• dmza en el 5

• dmzb en el 6

• inta en el 8

En cada escritorio se pueden identificar los siguientes elementos, que también se muestran en la figura:

• una terminal xfce4-terminal (el diálogo de entrada -login- aparece al final del proceso de arranque) que permite conectarse directamente a la KVM (es el equivalente de una terminal directamente conectada al computador)

• dos xfce4-terminal más pero minimizadas; también terminales virtuales

Vista del escritorio 2 una vez ha arrancado exta.

Nótese que, comenzando en esta versión de NETinVM, se han añadido unas notificaciones que indican:

• El comienzo del proceso de puesta en marcha.

• El comienzo del arranque de cada una de las máquinas KVM.

• La finalización del proceso de arranque, aunque todavía pueden transcurrir algunos segundos hasta que las KVM muestren el diálogo de entrada (login) en las terminales.

Una vez arrancan todas las máquinas virtuales KVM es posible localizarlas de forma sencilla utilizando la lista de ventanas de KDE, accesible con el atajo de teclado 'Win-w' o el icono correspondiente de la barra de control, tal y como se explica en el apartado Actividad 2: Familiarizarse con el entorno KDE. Si solamente se tienen abiertas las ventanas de las KVMs, el resultado debería ser similar al de la figura.

Lista de ventanas tras haber arrancado las KVMs.

Hay que tener en cuenta que en caso de cambiar el tamaño de una de las terminales, es necesario presionar "INTRO" o ejecutar la orden resize en ese mismo terminal, para que el intérprete de órdenes correspondiente detecte el cambio, pues no lo hace automáticamente.

Actividad 4: Parada de las máquinas KVM

Parar las máquinas KVM es tan sencillo como hacer clic en el icono "Shutdown All" disponible en el escritorio (si no está accesible directamente, es posible mostrarlo directamente con la combinación de teclas 'Ctrl-F12'). Alternativamente, también es posible detener las máquinas ejecutando la orden netivm_shutdown_all. Con ambos métodos se hace una parada ordenada de los servicios en cada una de las KVM. Irán apareciendo notificaciones a medida que se vayan parando las máquinas y, al final, aparece la notificación "All shut down".

Actividad 5: Puesta en marcha selectiva

En algunas actividades es necesario arrancar solamente una máquina KVM. Para ello se usa la orden netinvm_run. Esta orden debe ser ejecutada por el usuario "user1" y espera un único argumento: el nombre de la máquina virtual KVM a ejecutar. Además, se puede especificar el escritorio virtual en el que deben aparecer las ventanas con la opción '-d' (por defecto se usa el escritorio actual). Algunos ejemplos son:

netinvm_run exta

Ejecutar exta en el escritorio actual.

netinvm_run fw

Ejecutar fw en el escritorio actual.

netinvm_run -d 7 dmzc

Ejecutar dmzc en el escritorio 7.

Aunque éstas con las opciones básicas, netinvm_run permite usar opciones adicionales como '-E', que evita que se abran ventanas extra (las que por defecto aparecen minimizadas), o '-C', que hace que no se abra ninguna.

Actividad 6: Puesta en marcha de un cierto conjunto de KVMs

En algunas actividades puede ser necesario ejecutar más (o menos) máquinas que las incluidas en "Run all". Aunque se pueden lanzar las máquinas desde la línea de órdenes, tal y como se explica en Actividad 5: Puesta en marcha selectiva, es más cómodo usar un guión que lo haga. Para ello se ha preparado el guión netinvm_run_my_machines. Este guión puede ser editado cómodamente simplemente haciendo clic en "Configure my machines", en el escritorio.

Como puede observarse, el guión está bien comentado, por lo que resulta sencillo incluir o eliminar máquinas simplemente comentando o descomentando líneas. Por defecto, el guión pone en marcha las máquinas fw, y exta.

Para lanzar este guión, simplemente es necesario hacer clic en el icono "Run my machines". Alternativamente, se puede ejecutar la orden netinvm_run_my_machines.

Actividad 7: Otros casos de puesta en marcha y parada de máquinas

• Se pueden combinar diversos métodos de puesta en marcha. Por ejemplo, se lanza la configuración estándar con "Run all" y luego se lanza extb para una tarea concreta usando netinvm_run extb.

• "Shutdown all" para todas las máquinas KVM, independientemente de cómo hayan sido lanzadas. En el ejemplo anterior, "Shutdown all" también pararía extb (y no solamente las puestas en marcha por "Run all", o "Run my machines").

• Se puede parar una máquina entrando en ella como root y ejecutando el típico "shutdown -h now".

• Se puede rearrancar una máquina entrando en ella como root y ejecutando el típico "shutdown -r now". (Aviso: en esta versión, rearrancar la máquina hace que se quede en pausa, por lo que se recomienda en su lugar parar la máquina y volver a ponerla en marcha. En caso de que que se quede en pausa será necesario forzar el apagado de la máquina, por ejemplo 'exta', mediante la orden "virsh destroy exta", que debe ser ejecutada como "user1" en 'base').

Actividad 8: Realizar copias de seguridad de las KVMs

NETinVM dispone de un mecanismo de copia de seguridad para capturar el estado de toda la red. Para ello es suficiente con hacer clic en el icono "Backup KVM machines". Eso sí, para realizarla es necesario haber apagado previamente todas las máquinas KVM. Las copias se depositan en el directorio "/home/user1/netinvm/backups" usando como nombre el prefijo "kvm_machines" y añadiéndole el año, el mes, el día del mes, la hora, los minutos y los segundos.

La copia se guarda como un fichero tar comprimido con gzip, y suele ocupar solamente unos pocos KB o, como mucho, MB, ya que las máquinas utilizan copia en escritura y , por eso, la copias de seguridad solamente incluye las modificaciones realizadas en cada máquina sobre el sistema de ficheros de referencia.

Actividad 9: Restaurar copias de seguridad de las KVMs

Para restaurar una copia de seguridad simplemente es necesario hacer clic en el icono "Restore KVM machines". (Nuevamente las máquinas KVM deben estar apagadas). La restauración muestra un diálogo de selección de ficheros para que se indique la copia que se desea restaurar y, a continuación, destruye el estado actual para sustituirlo por el contenido en la copia.

Actividad 10: Intercambiar ficheros con base y entre las KVMs

La forma más sencilla de intercambiar información entre las KVMs y base, así como las KVM entre sí, es utilizar la carpeta compartida "shared". Efectivamente, la carpeta "/srv/netinvm/shared" de base está disponible en todas las KVM a través de la trayectoria "/mnt/shared".

No obstante, por comodidad, se han creado enlaces simbólicos denominados "shared" en los directorios iniciales de todos los usuarios, tanto en base como en las KVM. Por tanto, por ejemplo, esta carpeta compartida también resulta accesible como "/home/user1/shared", tanto en base como en las KVM.

Actividad 11: Conectarse a las máquinas KVM desde base

La forma más sencilla es usar las terminales, que son equivalentes al acceso físico al sistema y, por tanto, no generan ningún tráfico de red.

No obstante, en la configuración por defecto, todas las KVM ofrecen el servicio SSH y permiten el acceso mediante contraseña. Por tanto, desde base es posible conectarse por SSH a cualquiera de las KVM, tanto como "user1" como como "root". Este servicio es accesible desde base incluso aunque se detenga "fw" o se cambien sus reglas de filtrado, ya que base está conectada directamente a las tres redes de NETinVM (ext, dmz e int).

Actividad 12: Comprobar la conectividad entre KVMs

Para entender la interconexión entre KVMs será necesario, probablemente, releer el apartado Descripción de NETinVM. Resumiendo brevemente, las reglas son las siguientes:

• Las máquinas de la red interna pueden conectarse a las máquinas de la red externa.

• Las máquinas de la red externa no pueden conectarse a las de la red interna.

• Las máquinas de la red perimétrica no aceptan conexiones, salvo para los servicios previstos:

  • dmza.example.net, www.example.net: HTTP y HTTPS

  • dmzb.example.net, ftp.example.net: FTP

• Las máquinas de la red perimétrica no pueden conectarse a las KVMs de la red interna.

Actividad 13: Capturar tráfico e interpretarlo

Para crear las redes de NETinVM se utiliza openvswith, que permite crear switches virtuales. Por tanto, analizar el tráfico en NETinVM es igual a hacerlo en sistemas reales, con la ventaja añadida de que el único tráfico que se observa es el de las KVM activas y base. Al igual que en un caso real, se han creado puertos espejo (mirror) que permiten observar todo el tráfico que atraviesa el switch. Estos puertos son, respectivamente, mirror-ext, mirror-dmz y mirror-int.

Para esta actividad se empleará la utilidad gráfica wireshark, que puede lanzarse tanto desde Kicker (Alt-F2) como desde el menú de inicio. Aunque capturar trazas suele ser una actividad privilegiada, "wireshark" ha sido configurado para que el usuario "user1" pueda utilizarla sin necesidad de convertirse en administrador.

Actividad 14: Comprobar los servicios ofrecidos por una KVM

La forma de listar los servicios, configuración de red o conexiones establecidas se hace igual en las KVM que en cualquier otra máquina con Debian. Para ello se utilizan las herramientas del paquete iproute2 (ip, ss), más potentes y mejor mantenidas que las tradicionales netstat, ifconfig o route (incluidas en el paquete net-tools).

Por ejemplo, para listar las interfaces de red y sus direcciones:

root@exta:~# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
    valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether ca:fe:00:00:00:0a brd ff:ff:ff:ff:ff:ff
    inet 10.5.0.10/24 brd 10.5.0.255 scope global eth0
    valid_lft forever preferred_lft forever
    inet6 fe80::c8fe:ff:fe00:a/64 scope link
    valid_lft forever preferred_lft forever
root@exta:~#

Para comprobar los servicios TCP que ofrece una máquina:

root@exta:~# ss --listen --tcp
State      Recv-Q Send-Q      Local Address:Port          Peer Address:Port
LISTEN     0      128                     *:ssh                      *:*
root@exta:~#

Para ver las conexiones TCP establecidas:

root@exta:~# ss --tcp
State      Recv-Q Send-Q      Local Address:Port          Peer Address:Port
ESTAB      0      0               10.5.0.10:ssh               10.5.0.1:42610
root@exta:~#

O la configuración de encaminamiento:

root@exta:~# ip route
default via 10.5.0.1 dev eth0
10.5.0.0/24 dev eth0  proto kernel  scope link  src 10.5.0.10
10.5.1.0/24 via 10.5.0.254 dev eth0
10.5.2.0/24 via 10.5.0.254 dev eth0
root@exta:~#

Actividad 15: Realizar barridos de puertos

Una de las ventajas de utilizar un entorno privado como NETinVM es poder probar técnicas y programas que no sería seguro, ni ético, ni legal, probar en Internet. Un ejemplo es la posibilidad de explorar las posibilidades de una herramienta de reconocimiento de redes como nmap.

Actividad 16: Poner en marcha "virt-manager"

Puesto que virt-manager es una aplicación gráfica, la forma más sencilla de ponerla en marcha es mediante el menú de inicio. De hecho, en NETinVM ha sido añadida a las aplicaciones favoritas ("Virtual Machine Manager"). Alternativamente, puede lanzarse desde la línea de órdenes usando el programa virt-manager.

Al ponerlo en marcha, virt-manager se conecta al gestor de máquinas local y debe mostrar una lista con las máquinas de NETinVM. Como puede observarse en la figura, virt-manager muestra el estado de las diferentes máquinas ("Shutoff" significa, lógicamente, apagadas). Si se ponen en marchar las máquinas usando, por ejemplo, el icono "Run all", se observará cómo, efectivamente, el estado de las máquinas cambia a medida que se ponen en marcha.

virt-manager tras haber ejecutado "Run all".

Actividad 17: Acceder a la interfaz gráfica de las máquinas KVM

Una de las posibilidades más interesantes de virt-manager es poder conectarse a la consola gráfica de las máquinas KVM. En efecto, aunque NETinVM proporciona un cómodo acceso en modo texto, para algunas actividades es interesante poder trabajar en las máquinas KVM usando un entorno gráfico. Acceder a la consola de las KVM es tan sencillo como hacer doble clic sobre su icono en virt-manager. Si únicamente se muestra una pantalla negra, basta con presionar INTRO en la ventana para que aparezca el diálogo de entrada, como en la figura.

La consola gráfica de "inta" tras haber presionado INTRO.

Como puede observarse, por defecto no está activo el entorno gráfico. Esto es deliberado, para evitar el consumo de recursos (memoria y CPU) que se produciría si todas las KVM arrancaran por defecto en modo gráfico. Poner en marcha el entorno gráfico es tan sencillo como ejecutar la orden "startx" como "user1". El resultado, tras ajustar el tamaño de la ventana usando "View > Resize to VM", debe ser similar al de la figura.

El entorno gráfico LXDE en "inta".

El entorno gráfico LXDE tiene la ventaja de consumir pocos recursos y por eso ha sido elegido para las KVM. Su funcionamiento es bastante similar al KDE de "base". En particular, se recomienda cambiar el idioma del teclado (haciendo clic en la bandera americana). Lanzar aplicaciones es ingualmente sencillo, especialmente para el navegador web Firefox, el gestor de archivos y la terminal, que tienen lanzadores en el panel principal (parte inferior). En la siguiente figura se muestra NETinVM con el entorno gráfico LXDE en marcha en "inta" y con varias aplicaciones en marcha.

NETinVM y el entorno gráfico LXDE en "inta" con varias aplicaciones en marcha.

Una característica interesante del visor de virt-manager es que simplemente proporciona una vista del entorno gráfico y que, por tanto, puede ser cerrado sin afectar a las aplicaciones gráficas que se estén ejecutando. Si posteriormente se vuelve a lanzar el visor, se conectará a la consola gráfica y mostrará el contenido que tenga en ese momento. Pero lo mejor, sin duda, es probarlo.

Actividad 18: Comprender algunos resultados quizá inesperados de NETinVM y virt-manager

Aunque NETinVM y virt-manager ambos usan libvirt, al usar ambos de forma conjunta pueden obtenerse resultados que quizá no sean los esperados. Por ejemplo, usando virt-manager es posible parar, rearrancar, y poner en marcha las máquinas virtuales KVM de NETinVM:

Apagado (el comportamiento es el que cabría esperar)

La forma correcta de apagar una máquina KVM desde virt-manager es usando la entrada "Shut Down" del menú contextual. Esta entrada ofrece a su vez la opción "Shut Down", que es la que se debe utilizar. Seleccionando esta opción se observará que la máquina cambia en virt-manager al estado "Shutoff" y que las ventanas asociadas a dicha máquina también desaparecen. (Por ejemplo, para "dmzb" serían las ventanas del escritorio 6 con título "dmzb - console1", "dmzb - console2" y "dmzb - console3".

Aviso: si se usa la opción "Force Off" se realiza un apagado forzoso, similar al que se obtiene al desenchufar de la red eléctrica a una máquina física. Por tanto, se corre el riesgo de perder información y/o de que se corrompan los sistemas de ficheros de la máquina KVM.

Rearranque (el comportamiento es el que cabría esperar)

Si se selecciona la opción "Reboot" de la entrada "Shut Down" del menú contextual de una máquina en virt-manager se puede observar (en la consola gráfica) que la máquina hace un rearranque similar al de una máquina física y que, como cabría esperar, la pantalla de inicio vuelve a aparecer tras el arranque. las ventanas asociadas a la máquina virtual correspondiente no desaparecen, sino que, como la consola gráfica, vuelven a mostrar el diálogo de inicio

Aviso: si se usa la opción "Force Reset" se simula la acción de presionar el botón de reset de una máquina física. Por tanto, se corre el riesgo de perder información y/o de que se corrompan los sistemas de ficheros de la máquina KVM.

Ejecución (necesita una explicación)

Si se pone en marcha una máquina KVM usando la opción "Run" del menú contextual de virt-manager, se observará que:

• la máquina arranca y ofrece el diálogo de entrada en la consola gráfica

• no se crean las consolas de texto que se crean al usar "Run all" y "Run my machines" de NETinVM

Lo más sencillo es poner en marcha las máquinas KVM usando siempre el programa "netinvm_run" (ver Actividad 5: Puesta en marcha selectiva).

Alternativamente, es posible conectarse a las consolas de texto usando la orden netinvm_console, que permite acceder a estas consolas en cualquier momento, una vez la máquina KVM está corriendo. Por ejemplo:

netinvm_console inta

Conectarse a la consola 1 de "inta" y mostrar la ventana en el escritorio actual.

netinvm_console inta 1

Conectarse a la consola 1 de "inta" y mostrar la ventana en el escritorio actual.

netinvm_console inta 2

Conectarse a la consola 2 de "inta" y mostrar la ventana en el escritorio actual.

netinvm_console -d 8 inta 3

Conectarse a la consola 3 de "inta" y mostrar la ventana en el escritorio 8.

Nótese que puede ser necesario presionar INTRO para que aparezca el diágolo de entrada en la consola.