Wake on LAN - lokální i vzdálený subnet

Vytvořil jsem webovou verzi aplikace, která provádí dále popsaný Wake on LAN. Dostupná je na adrese Wake On LAN (WoL) - turning on your computer remotely (v AJ).

Wake on LAN (WOL) funguje na Ethernetu a je nezávislý protokolu (TCP/IP, IPX či jiný). Jak by název napovídal, tak buzení funguje v rámci lokální sítě. LAN dříve představoval jeden subnet, takže vše bylo jednoduché a dále je popsáno v první variantě. Dnes je však lokální síť velmi často dělena do řady subnetů a jako LAN se označuje určitá geografická lokalita. Takže se WOL řeší do jiného subnetu, občas se označuje jako WOL over the internet, a tuto situaci popisuji v dalších variantách.

Pozn.: V článku různě používám termíny rámec (frame) a paket (packet), často (ne vždy) se dají zaměnit, záleží na tom, zda nás v daném kontextu zajímají i MAC adresy nebo pouze IP adresy a výše. Podrobněji v článku TCP/IP - model, encapsulace, paket vs. rámec.

Co musí splňovat klient - zapnutí WOL

Nejprve začnu tím, co musí splňovat klient, tedy buzený počítač, aby jej bylo možné vzdáleně zapnout.

Je potřeba podpora u základní desky a u síťové karty (NIC). Funguje to tak, že i když je počítač vypnutý, tak síťová karta je stále napájena a poslouchá komunikaci, zda nepřišel speciální rámec (frame), který se jmenuje Magic Packet. Síťová karta pracuje ve speciálním režimu Magic Packet Mode. Ve chvíli, kdy zachytí Magic Packet, který je určen pro ni (podle MAC adresy, viz dále), tak pošle signál základní desce, aby zapnula počítač.

Dříve se pro externí síťové karty používal speciální kabel, který je spojoval se základní deskou. Později se tento budící signál začal posílat po PCI sběrnici (od verze PCI 2.2). Dnes máme síťovou kartu integrovanou na základní desce, takže je vše jednodušší (ale stejně to ve skutečnosti funguje po PCI či PCIe).

Většinou stačí v BIOSu zapnout funkci Wake On LAN, která bývá nazvána různě, například na mé domácí základní desce se skrývá v AMI BIOSu pod Power - APM Configuration - Power On By PCIE Device, protože integrovaná síťová karta je na PCI Express sběrnici.

Někdy je třeba ještě nastavit síťovou kartu, což můžeme udělat z Windows pod Control Panel - System - Hardware - Device Manager - daný síťový adaptér - Properties - Advanced - zde nastavení Wake Up Capabilities, případně ještě Wake From Shutdown.

Důležité je, že standardně musí být síťová karta přepnuta do speciálního režimu Magic Packet Mode (to se provede nastavením bitu v interním registru), kdy kontroluje síťový provoz, zda nepřišel Magic Packet. To dosáhneme korektním vypnutím počítače (při zapnutí se tento speciální mód automaticky vypne), někde se tomu říká Soft Shutdown. K tomu nedojde například při přerušení dodávky elektrické energie nebo při vypnutí počítače dlouhým podržením Power Button. Vše ještě záleží na to, zda do Magic Packet Mode přepíná ovladač síťové karty, pak vše musí být nastaveno v tomto ovladači a operační systém musí být korektně ukončen. Nebo je to řešeno v hardwaru či BIOSu.

Pozn.: To, že je síťová karta napájena i při vypnutém počítači poznáme podle toho, že má stále link state (svítí dioda na síťové kartě i na portu switche, na switchi se hlásí jako connected).

Základní princip WOL - Magic Packet

Wake on LAN funguje tak, že z nějaké řídící stanice odešleme speciální rámec (frame) tzv. Magic Packet. Magic Packet je standardní rámec, který obsahuje zdrojovou adresu, cílovou adresu, která může být adresou cílové stanice nebo multicastovou (tzn. i broadcast) adresou. Datový obsah paketu musí kdekoliv uvnitř (ale většinou zde jiný obsah není) obsahovat synhronizační stream, což je 6 bytů o hodnotě FF. Následovaný 16 krát zopakovanou MAC adresou cílové stanice (bez oddělovače).

Rámec se odesílá jako UDP a doporučuje se použít port 9 discard nebo 7 echo, ale většinou se port nekontroluje, takže se může použít libovolný od 0 do 65535. Zdrojový port je dynamický.

WOL v lokálním subnetu

Pomocí broadcastu

Pokud jsou obě stanice (vysílající i buzená) ve stejném subnetu, tak je situace jednoduchá a bezproblémové. Běžně to funguje tak, že se Magic Packet pošle jako broadcast. Tedy hodnoty v rámci jsou na L2 (druhá vrstva dle OSI modelu) zdrojová MAC = vysílající stanice, cílová MAC = FF:FF:FF:FF:FF:FF. L3 zdrojová IP adresa = vysílající stanice, cílová IP = 255.255.255.255.

Pozn.: Z toho je vidět, že pro použití potřebujeme znát pouze MAC adresu probouzené stanice.

Pozn.: Pokud bychom Magic Packet v rámci stejného subnetu chtěli poslat jako unicast, tak dojde k problému. Když fyzická vrstva síťového rozhranní vytváří rámec a nezná MAC adresu pro zadanou IP adresu (z lokální ARP tabulky), tak odešle ARP dotaz (broadcast), na který nedostane odpověď, takže rámec nikdy nevytvoří. My sice MAC adresu známe (a navíc není důležitá), ale to bychom museli vytvořit rámec sami na nižší vrstvě (než asi běžně použijeme v nějakém programovacím jazyku).

WOL do vzdáleného subnetu (přes internet)

Složitější situace nastane, pokud buzená stanice není ve stejném subnetu, to znamená, že v cestě se nachází jeden nebo více routerů. Vše plyne z principu komunikace v síti (nebo funkce aktivních síťových prvků), podrobněji se můžete dočíst v článku TCP/IP a ethernet - cesta v síti, aktivní síťové prvky.

První věc je, že router odděluje broadcastové domény, jednodušeji řečeno, broadcasty se skrze router nešíří (standardně, dá se to obejít speciální konfigurací routeru). Aplikace, které se dají získat na internetu, většinou nabízí i možnost zadání IP adresy buzené stanice (a bohužel většinou bez popisu co jak zadávat). A od toho se na internetu vede řada diskusí. Vždyť přece vypnutá stanice nemá IP adresu, síťová karta má pouze svoji hardwarovou adresu, tedy MAC adresu. Ale použití této IP adresy neslouží k identifikaci stanice, ale k identifikaci subnetu.

Pozn.: Síťová karta v Magic Packet Mode se většinou nedívá na L2, L3 ani L4, ale pouze do datového obsahu rámce.

Pomocí unicastu

Pokud je cíl v jiném subnetu, tak můžeme použít unicast, ale to funguje jen chvíli (možné časy jsou uvedeny dále) po vypnutí počítače. Při odesílaní paketu naše stanice zjistí, že cíl je v jiném subnetu, takže zprávu pošle na bránu (gateway nebo podle své routovací tabulky, do rámce se použije MAC adresa brány a IP adresa cíle, to řeší fyzická vrstva síťového rozhranní). Pokud router má v ARP tabulce uloženu danou cílovou IP adresu, tak použije správnou MAC adresu a odešle rámec. Pokud dostane rámec switch a v CAM tabulce (tabulka MAC adres a portů) nemá záznam, tak pošle zprávu na všechny porty mimo příchozího. Pokud ještě záznam má, tak pošle přímo na daný port.

Problém ale nastane, když router nemá záznam v ARP tabulce. Tehdy pošle broadcast, kde se ptá, kdo má danou IP adresu, ale protože nedostane odpověď (od vypnuté stanice), tak paket zahodí.

Pozn.: V tomto případě tedy potřebujeme MAC adresu cílové stanice a její poslední IP adresu. Teoreticky bychom mohli použít i jinou IP adresu z daného subnetu, ale jde o to, aby ji router měl ve své ARP tabulce (je nám jedno, že ji na L2 přiřadí jinou MAC adresu) a naopak switch, aby tuto přiřazenou MAC adresu neměl v CAM tabulce, protože by rámec odeslal jen na jiný port. Pokud bychom za routerem měli hub, tak bychom mohli použít IP adresu libovolné běžící stanice v daném subnetu a vždy by nám to fungovalo.

Pomocí směrovaného broadcastu

Abychom tedy dostali paket do cílového subnetu, můžeme použít směrovaný broadcast na subnet (Subnet Directed Broadcast, např. 10.0.0.255), který používá boradcastovou adresu daného subnetu, více v článcích TCP/IP - metody vysílání dat a TCP/IP - adresy, masky, subnety a výpočty. Ten by měl cestovat přes routery až na ten, který má daný subnet jako přímo připojený. Tento router upraví rámec na běžný broadcast a odešle jej na odpovídající rozhranní.

Pozn.: V tomto případě tedy potřebujeme MAC adresu cílové stanice a broadcastovou adresu subnetu, v kterém se nachází.

Protože však tato technika byla používána k útokům, tak bývá na routerech nebo i firewallech většinou zakázána. To se týká routeru, který by měl rámec převést na broadcast, přes ostatní by měl rámec projít normálně.

Pozn.: Nejběžnější je Smurf Attack, který má zařídit Denial of Services (DoS). Útočník odesílá množství paketů  ICMP echo reply s podvrženou zdrojovou adresou jako directed broadcast, všechny stanice v subnetu odpovídají echo reply a stanice, jejíž adresa je ta podvržená, je zahlcena.

Na novějších Cisco routerech a switchích (L3) je tato funkce defaultně zakázána, ale je možno ji povolit pro daný interface (port či VLANu). Následuje ukázka nastavení.

Switch(config)#interface vlan 100
Switch(config-if)#ip directed-broadcast   // povolení pro interface, může být následováno označením ACL
Switch(config-if)#exit 
Switch(config)#ip forward-protocol udp 9  // určení povoleného protokolu a portu (volitelně) pro directed broadcast

Z bezpečnostních důvodů se vždy doporučuje povolení směrovaných broadcastů doplnit o ACL (kde se povolí odesílání třeba jen z jedné IP adresy).

Pro zajímavost se může hodit informace o defaultním timeoutu hodnot na některých Cisco zařízeních. Timeout pro CAM tabulku bývá 5 minut, timeout pro ARP tabulku bývá 4 hodiny. Tyto hodnoty jsou nastavitelné.

Příklad skriptu Wake On LAN v PHP

Zde je uvedený jednoduchý příklad implementace Wake On LAN pomocí PHP. Pokud známe princip WOL, tak není nic těžkého takovýto skript napsat.

// použití WakeOnLAN("00-02-A5-31-CE-5E");
// nebo    WakeOnLAN("00-02-A5-31-CE-5E", "192.168.10.15");
// nebo    WakeOnLAN("00-02-A5-31-CE-5E", "192.168.10.255");
// vrací   true - odeslání proběhlo OK (to neznamená, že cílová stanice přijala rámec)
//         false - došle k chybě při vytváření nebo odeslání rámce
function WakeOnLAN($mac, $ip = "255.255.255.255", $port = 9) {
  $mac = strtoupper($mac);          // převedeme písmena v MAC adrese na velká
  if(ereg("^([0-9|A-F]{2})[.|:|-]?([0-9|A-F]{2})[.|:|-]?([0-9|A-F]{2})[.|:|-]?([0-9|A-F]{2})[.|:|-]?([0-9|A-F]{2})[.|:|-]?([0-9|A-F]{2})$", $mac, $val)) 
    $mac = chr(hexdec($val[1])).chr(hexdec($val[2])).chr(hexdec($val[3])).chr(hexdec($val[4])).chr(hexdec($val[5])).chr(hexdec($val[6]));  // uloží MAC jako hexadecimální hodnoty
  else return false;                // MAC adresa je v neplatném tvaru
  $msg = str_repeat(chr(255), 6);   // úvodní synchronizační stream 6x FF
  $msg .= str_repeat($mac, 16);     // následovaný 16x zopakovanou MAC adresu cíle
  if(($s = socket_create(AF_INET, SOCK_DGRAM, SOL_UDP)) == false) return false;    // otevře UDP socket
  if(socket_set_option($s, SOL_SOCKET, SO_BROADCAST, true) == false) return false; // nastaví jako broadcast
  if(socket_sendto($s, $msg, strlen($msg), 0, $ip, $port) == false) return false;  // odešle Magic Packet na danou IP a UDP port
  socket_close($s);                 // uzavření socketu
  return true;
}

Tento kód můžeme doplnit o nějaké kontroly a vytvořit jednoduché webové rozhraní a máme aplikaci.

Aplikace pro WOL

Samuraj Wake On LAN Command Line - sWOLcmd

Jako první musíme zmínit aplikaci, kterou jsem vytvořil po napsání tohoto článku (a kde jsem zúročil nabité zkušenosti). Podrobný popis naleznete v Samuraj Wake On LAN Command Line - aplikace sWOLcmd. Jedná se o WOL aplikaci pro příkazový řádek a funkční v 32 bitových Windows. Stáhnout si můžete komprimovaný archiv sWOLcmd.

Další aplikace

Aplikací, které slouží k probuzení počítače pomocí WOL, je velká řada. Ať už grafických nebo pro příkazovou řádku a pro rozličné operační systémy. Často je funkce WOL doplněna do různých aplikací pro správu síťového prostředí. Uvádím zde pár příkazů grafických aplikací pro Windows.

• Advanced IP scanner
• WOL Magic Packet Sender
• WakeOnLanGui

Odkazy

• nejvíce informací jsem získal z White Paper firmy AMD Magic Packet Technology
• konfiguraci Directed Broadcast na Cisco Catalyst 3750 se dočtete v článku Configuring Broadcast Packet Handling

Související články:

Počítačové sítě - Computer networks

• OSI model [05.03.2007 08:09]
• Počítačové sítě a jejich typy [09.07.2007 15:32]
• VLAN - Virtual Local Area Network [02.06.2007 15:54]
• Počítačové sítě - základní topologie [30.07.2007 14:47]
• Ethernet - CSMA/CD, kolizní doména, duplex [03.08.2007 12:40]
• TCP/IP - model, encapsulace, paket vs. rámec [16.08.2007 16:43]
• TCP/IP - metody vysílání dat [02.09.2007 15:05]
• TCP/IP - adresy, masky, subnety a výpočty [05.09.2007 14:53]
• TCP/IP - navázání a ukončení spojení [13.09.2007 16:10]
• TCP/IP a ethernet - cesta v síti, aktivní síťové prvky [17.09.2007 10:22]
• TCP/IP - Routing - směrování [21.09.2007 15:34]
• TCP/IP - nalezení MAC adresy k IP - ARP [25.09.2007 17:35]
• Počítačové sítě - Computer Networks [30.09.2007 13:28]
• DNS (Domain Name System) zaměřeno na Microsoft [26.11.2007 14:26]
• Wake on LAN - lokální i vzdálený subnet [10.08.2008 20:42] právě čtete