høst en 2002 Forelesning nr 11, m andag 28. ok t ober Ek sem pel på rut er m ed b FireWalls IP v6 FTP Datakom høsten

Transkript

1 Dat ak om m unik asjon høst en 2002 Forelesning nr 11, m andag 28. ok t ober Ek sem pel på rut er m ed b FireWalls IP v6 FTP Datakom høsten

2 Øvingsoppgaver Oppgave 1 a) Forklar hvordan en FireWall (brannmur) fungerer b) Hvordan må brannmuren konfigureres for å hindre at en fra utsiden kan sette opp en TCP forbindelse til nettet på innsiden? Oppgave 2 a) Hva er forskjellen på Go-back-N ARQ og selective-reject ARQ? b) Hva er forskjellen på en forbindelsorient og en forbindelsesløs tjeneste ( connection-oriented og connectionless )? c) Er TCP forbindelsesorientert eller forbindelsesløs? d) Tegn oppkoblingssekvensen for TCP (dvs. hvilke meldinger benyttes). e) Maskin A og maskin B er forbundet via et lokalnett. Maskin A har en FTP-klient og en mail-klient, mens maskin B har en FTP server og en mail server. Både FTP og SMTP (Simple mail Transfer Protocol) benytter TCP som transportprotokoll. Hvordan klarer TCP å levere data til den riktige applikasjonen. Datakom høsten

3 Datakom høsten

4 Datakom høsten

5 Datakom høsten

6 Datakom høsten

7 Datakom høsten

8 Datakom høsten

9 Datakom høsten

10 Datakom høsten

11 Datakom høsten

12 Enc rypt ion ] :LUHG(TXLYDOHQW3ULYDF\RU:(3 allows you to encrypt the traffic between your Wireless PC and the Gateway. It is important to remember that with WEP disabled anyone with a Wireless PC can eavesdrop on your network. 3Com recommends that you get the network working with WEP disabled first and then enable it as the last step. This will simplify setting up your network. ] :LUHOHVV(QFU\SWLRQ7\SH There are two levels of encryption available, 64 bit and 128 bit. 128 bit WEP is more secure than 64 bit. Use the "Wireless Encryption Type" box to select the desired level. ].H\*HQHUDWLRQ0HWKRG A Key is a hexadecimal (0-9, A-F) number used to encrypt and decrypt the data. There can be up to 4 keys and each key can be as long as 26 digits. The Gateway also offers a number of methods for converting plain text into hex keys. The text is much easier to remember than hex keys but it relies on your wireless adapters also supporting this feature. Different manufacturers have developed different ways of converting plain text and so interoperability is not guaranteed. If you are experiencing difficulty, the Manual Hex Key method is supported by most vendors. Datakom høsten

13 The Gat ew ay support s 4 m et hods t o spec ify t he WEP K eys : ] 1) 0DQXDO+H[.H\ ] This method allows you to manually enter hex keys. Virtually all manufacturers support this scheme. ] 2) &RP(QFU\SWLRQ6WULQJ ] This method is only supported by 3Com Wireless products. The string can contain any alpha numeric characters and must be between 6 and 30 characters long. A single string will automatically generate 4 unique keys for 64 or 128 bit WEP. ] 3) $6&,, ] This method is supported by some adapter cards running under Windows XP. The string must be exactly 5 characters for 64 bit WEP and 13 characters for 128 bit WEP. You must enter a separate string for each of the 4 Keys. You can leave a string blank so long as this Key is not selected as the Active Transmit Key. ] 4) 3DVVSKUDVH ] This is another common method and similar to the 3Com Encryption string. In 64 bit WEP, the Passphrase will generate 4 different keys. However, in 128 bit WEP, this method only generates 1 key which is replicated for all 4 keys. ] $FWLYH7UDQVPLW.H\ The "Active Transmit Key" selects which of the 4 Keys the Gateway uses when it transmits. You can change the selected key every now and then to increase the security of your network. Datakom høsten

14 &ORQH0$&$GGUHVV Some ISP s use the hardware (MAC) address of the device you connect to the Internet with to identify you. If you have previously used a different device with your current ISP, and they use your MAC address to identify you, then you can change the MAC address on the WAN side of your Gateway to be that of your old device. Datakom høsten

15 Datakom høsten

16 Datakom høsten

17 Datakom høsten

18 Datakom høsten

19 Datakom høsten

20 Datakom høsten

21 Datakom høsten

22 Datakom høsten

23 Firew alls f ir ewall isolat es or ganizat ion s int er nal net f r om lar ger I nt er net, allowing some packet s t o pass, blocking ot her s. Two firewall types: \ packet filter \ application gateways To prevent denial of service attacks: \ SYN flooding: attacker establishes many bogus TCP connections. Attacked host alloc s TCP buffers for bogus connections, none left for real connections. To prevent illegal modification of internal data. \ e.g., attacker replaces CIA s homepage with something else To prevent intruders from obtaining secret info. Datakom høsten

24 Pac k et Filt ering ] Internal network is connected to Internet through a router. ] Router manufacturer provides options for filtering packets, based on: \ source IP address \ destination IP address \ TCP/UDP source and destination port numbers \ ICMP message type \ TCP SYN and ACK bits ] Example 1: block incoming and outgoing datagrams with IP protocol field = 17 and with either source or dest port = 23. \ All incoming and outgoing UDP flows and telnet connections are blocked. ] Example 2: Block inbound TCP segments with ACK= 0. \ Prevents external clients from making TCP connections with internal clients, but allows internal clients to connect to outside. Datakom høsten

25 Applic at ion gat ew ays ] Filters packets on application data as well as on IP/TCP/UDP fields. ] Example: allow select internal users to telnet outside. host -t o-gat eway t elnet session applicat ion gat eway gat eway-t o-r emot e host t elnet session r out er and f ilt er 1. Require all telnet users to telnet through gateway. 2. For authorized users, gateway sets up telnet connection to dest host. Gateway relays data between 2 connections 3. Router filter blocks all telnet connections not originating from gateway. Datakom høsten

26 Cert ific at ion Aut horit ies ] Certification authority (CA) binds public key to particular entity. ] Entity (person, router, etc.) can register its public key with CA. \ Entity provides proof of identity to CA. \ CA creates certificate binding entity to public key. \ Certificate digitally signed by CA. ] When Alice wants Bob s public key: ] gets Bob s certificate (Bob or elsewhere). ] Apply CA s public key to Bob s certificate, get Bob s public key Datakom høsten

27 Sec ure soc k et s layer (SSL) ] PGP provides security for a specific network app. ] SSL works at transport layer. Provides security to any TCP-based app using SSL services. ] SSL: used between WWW browsers, servers for I- commerce (shttp). ] SSL security services: \ server authentication \ data encryption \ client authentication (optional) ] Server authentication: \ SSL-enabled browser includes public keys for trusted CAs. \ Browser requests server certificate, issued by trusted CA. \ Browser uses CA s public key to extract server s public key from certificate. ] Visit your browser s security menu to see its trusted CAs. Datakom høsten

28 SSL (c ont inued) Encrypted SSL session: ] Browser generates symmetric session key, encrypts it with server s public key, sends encrypted key to server. ] Using its private key, server decrypts session key. ] Browser, server agree that future msgs will be encrypted. ] All data sent into TCP socket (by client or server) i encrypted with session key. ] SSL: basis of IETF Transport Layer Security (TLS). ] SSL can be used for non- Web applications, e.g., IMAP. ] Client authentication can be done with client certificates. Datakom høsten

29 K om m unik asjonslagene (referert t il OSI) RFC871,QWHUQHW7&3,3 26, FTP HTTP SMTP $SSOLFDWLRQ $SSOLFDWLRQ DNS 3UHVHQWDWLRQ 6HVVLRQ TCP UDP 7UDQVSRUW 7UDQVSRUW,&03,3 $53 1HWZRUN 1HWZRUN PPP 'DWD/LQN 'DWD/LQN Ethernet 3K\VLFDO Datakom høsten

30 IP - Int ernet Prot oc ol RFC791 ] Ruting \ IP adresser \ Veivalg ] Fragmentering ] Overføring ( best effort ) \ Upålitelig \ Forbindelsesløs Pakker kan: [ mistes [ dupliseres [ komme i feil rekkefølge IP rydder ikke opp i dette Datakom høsten

31 IP Header RFC791 9HUVLRQ,+/ 7\SHRI6HUYLFH 7RWDOOHQJWK,GHQWLILFDWLRQ ' ) 0 ) )UDJPHQW2IIVHW 7LPHWR/LYH 3URWRFRO +HDGHU&KHFNVXP 6RXUFH$GGUHVV 'HVWLQDWLRQ$GGUHVV 2SWLRQV,GHQWLILFDWLRQ,+/ ') 9HUVLRQ 7RWDO/HQJWK 7\SHRI6HUYLFH 0) )UDJPHQW2IIVHW 7LPH7R/LYH 3URWRFRO 1XOO 'RQ W)UDJPHQW 0RUHIODJ,QWHUQHWZRUN $OOWLG +YLONHQ $QJLU VDWW %HQ\WWHV KYLV 0D[YHUGL GHW 3UHFHGHQFHELW'HOD\ORZQRUPDO7KURXJKSXWQRUPDOKLJK 2IIVHWLDQWDOO YHUVRQ WLORYHUOLJJHQGH 7RWDOW VHWWHV +HDGHU/HQJWK IOHUH IRUnLGHQWLILVHUH IRUV NHWV DY IUDJPHQWHUKYLV,3VRP ELWVRUGSODVVHULQJ GHW RNWHWWHU ODJVSURWRNROOIHNV7&3 OHYHWLG$QJLV EHQ\WWHVKHUYLO LNNH KHDGHUHQV QVNHV,3KHDGHUGDWD VDPPHQK UHQGH VLVWH DWSDNNHU OHQJGH LVHNXQGHUPHQEOLU IUDJPHQWHOOHU GHW DY VWn LELWVRUG GHWWH VNDO VLGHQ IUDJPHQWHW IUDJPHQWHUHV KYLV GHWWH HU QnU LNNH LSUDNVLV IRU HU HQ,3Y KHDGHUXWHQ DQWDOO IUDJPHQWHUW 5HOLDELOLW\QRUPDOKLJK&RVWQRUPDOPD[LPL]H RSSULQQHOLJ RSVMRQHU UXWHUKRSSWHOOHV,3SDNNH YDU IRUI UVWH QHG IRUVWRU LKYHUIRUOLQNODJHW UXWHU IUDJPHQWHOOHU GHW SDVVHUHU KYLVLQQWLO LNNHGHW QnU GDIUDJPHQWHUW VHQGHV GHW LNNH YLGHUH Eksempel Datakom høsten

32 IP-adresser RFC791 Klasse A (0-127): 0 Nett Lokal Klasse B ( ): 1 0 Nett Lokal Klasse C ( ): Nett Lokal Datakom høsten

33 IP-adresser ] Hvordan angis en IP-adresse? \ fire desimale nummer, et pr. byte i adressen, separert med punktum \ Kalles for dotted decimal notation \ Eksempel Datakom høsten

34 IP-adresser ] Spesielle adresser \ Broadcast - en til alle Lokaladresse har alle bit satt til 1 \ Loopback (tilgang til tjenester på egen maskin) \ Alle bit 0; ukjent IP-adresse (eller default rute) ] Måter å adressere \ Unicast - en til en \ Broadcast - en til alle \ Multicast - en til mange Datakom høsten

35 Subnet t RFC950 ] Klasseinndelingen er lite fleksibel, og gir mange ubrukte adresser ] Bedre utnyttelse av adresseområdet oppnås ved bruk av subnettmasker. ] En subnettmaske angir hvor stor del av adressen som er nettprefikset (nett+ subnett) og dermed også hvor stor del lokaladressen er Datakom høsten

36 Subnet t, ek sem pel RFC791 2SSULQQHOLJ NODVVH %QHWW PHGORNDODGUHVVHU 1HWW /RNDO 1nVXEQHWWKYHUW PHGORNDODGUHVVHU 1HWW 6XEQHWW /RNDO 6XEQHWWPDVNHHOOHU Datakom høsten

37 Subnet t RFC950 ] Variabel Length Subnet Mask \ Man kan ha subnett av forskjellig størrelse \ Mer effektiv utnyttelse av organisasjonens adresseområde. ] Måter å angi subnettmasker: \ , subnettmaske \ / 24 \ /24 betyr at 24 bit benytttes til å angi nettadressen \ Totalt tilgjengelig 32 bit \ = 8 bit til host adresser Datakom høsten

38 RFC950 Subnet t - variable subnet t m ask er, ek sem pel Opprinnelig klasse C nett, 1 nett med 254 lokaladresser Nett Lokal 1c 4 subnett, hvert med 30 lokaladresser Subnett Nett Lokal 0 x x 3OXVV 4 subnett, hvert med 14 lokaladresser Subnett Nett Lokal 1 0 x x 3OXVV 8 subnett, hvert med 6 lokaladresser Subnett Nett Lokal 1 1 x x x Datakom høsten

39 Adresseoverset t ing RFC2663 ] Bedre kjent som NAT (Network Address Translator) ] IP-adresser innenfor et nettverk \ ikke er gyldige for bruk utenfra \ skal skjules for utenverdenen ] En organisasjon har færre eksterne adresser enn størrelsen på det interne nettverket tilsier ] Noen adresseområder er reservert til privat bruk \ \ \ \ Disse adressene kan fritt benyttes bak en brannmur uten å komme i konflikt med andre sine IP-adresser på Internett. Datakom høsten

40 IP addressing: CIDR ] classful addressing: \ inefficient use of address space, address space exhaustion \ e.g., class B net allocated enough addresses for 65K hosts, even if only 2K hosts in that network ] CIDR: Classless InterDomain Routing \ network portion of address of arbitrary length \ address format: a.b.c.d/x, where x is # bits in network portion of address net wor k par t / 23 host par t Datakom høsten

41 The Int ernet Net w ork layer Host, router network layer functions: Tr anspor t layer : TCP, UDP Net wor k layer Rout ing pr ot ocols pat h select ion RI P, OSPF, BGP r out ing t able I P pr ot ocol addr essing convent ions dat agr am f or mat packet handling convent ions I CMP pr ot ocol er r or r epor t ing r out er signaling Link layer physical layer Datakom høsten

42 IPng working group IPv6 - Hvorfor? ] For få adresser i IPv4 \ Snart ikke fler igjen ] For dårlig organisering av IPv4 adressene \ Mange entries i ruting-tabeller \ Mye data som må utveksles mellom ruterne ] Svakheter i IPv4 skal bedres \ Sikkerhet \ Quality of Service Datakom høsten

43 IPv4 header Æ IPv6 header Version IHL Type of Service Total Length Total ÆLength Payload Length Identification 0 D F M F Fragment Offset TTL Time Æ Hop to Live Limit Protocol Protocol Æ Next Header Header Checksum Source Address Æ økes til 128 bits Destination Address Æ økes til 128 bits Options Ikke Fragmentering Header Type behov of Checksum Service for IHL hånderes - noe (Internet - Kan av det i fjernes egen Header denne Fragmentation fordi har Length) lag vært 2 utfører siden brukt Header, IPv6-headeren til feilkontroll, kan ikke erstattes nødvendig samt har av at Classparametern lengde. fragmenteringsinfo hånderes i IPv6 feilkontroll i egne i IPv6-headeren. Extention Headers. Funksjonen er også konstant TCP med har Options ende-til-ende endret. Datakom høsten

44 IPv6 Header RFC2460 Version Traffic class Flow Label Payload Length Next Header Hop Limit Source Address Destination Address Hop Next Payload Flow Version Class Limit header Label - Ny - Length samme (=v4 for - (=v4 Ny v6 Time ( v4 for (evt. navn Protocol) v6, To Total erstatter avsender og Live) funksjon Length) - Beskriver - Parameter ToS benytter - som (Type antall neste i IPv4, denne har of bytes Service) header endret men data. til å annen (i angi navn i samme Til v4), QoS forskjell for verdi, kanå pakke), (Quality benyttes bedre skal fra v4 nå samsvare enten of inkluderes for identifisere Service), å dette skille med er LNNH f.eks typer IPv6 en extension virkeligheten. lengden real-time av (=6). trafikk på data header headeren, someller tale men og header video. evt. for extension overliggende headers protokoll. er inkludert. Datakom høsten

45 IPv6 Header RFC2460 ] Enklere header enn v4 \ Kun dobbelt så stor, selv om addressefeltene er 4- doblet \ Elementer som ikke alltid benyttes, er fjernet fra header ] Ingen begrensning på lengde på opsjonsfelt \ Opsjoner kommer nå med egne header, ikke lenger inkludert i generell IP-header \ Det kan være flere opsjoner (extension headers) i en IP-pakke. Datakom høsten

46 IPv6 Ex t ension Headers RFC2460 ] Hop-by-Hop Options header ] Routing header ] Fragment header ] Authentication header (IPSec- Internet Protocol Security) ] Encapsulating Security Payload header (IPSec- Internet Protocol Security) ] Destination Options header Datakom høsten

47 IPv6 adresser RFC2373 ] 3 kategorier adresser \ Unicast, single interface \ Multicast, sett av interface \ Anycast, nærmeste interface ] Ingen broadcast addresses in IPv6 ] Adressen angis i hex, med : mellom hvert 16-bits ord. \ Eksempel: 1080:0:0:0:8:800:200C:417A \ Kan også skrives: 1080::8:800:200C:417A Datakom høsten

48 Fra IPv4 t il IPv6 RFC2893 Hvordan skal oppgradering til IPv6 foregå? ] Vanskelig (= umulig) og kostbart å få oppgradert hele Internett samtidig ] Må være mulig å gjøre dette gradvis ] IPv4 og IPv6 må kunne fungere side om side i samme nett i en lengre periode ] Transisjon fra IPv4 til IPv6 har vært vurdert helt fra begynnelsen av, dvs. en del av designet i IPv6. Datakom høsten

49 Fra IPv4 t il IPv6 RFC2893 ] Flere mulige løsninger: \ Dual stack, dvs. har support for både IPv4 og IPv6 \ Tunneling mode for å kjøre IPv6 over IPv4 ] IPv4-kompatible IPv6-adresser ] Adressekonvertering ] Disse vil kombineres Datakom høsten

50 Dual st ac k RFC2893 All trafikk som både origineres og termineres innenfor IPv6 området går med IPv6 IPv6 All trafikk som har minst et endepunkt i IPv4-området går med IPv4, selv om det andre endepunktet skulle væ re i IPv6- området. IPv4 IPv6 Datakom høsten

51 Dual st ac k RFC2893 ] En node har både IPv4 og IPv6 implementert \ Har da også normalt tilordnet både IPv4 og IPv6 adresse \ Begge disse må ha et record i DNS ] Velger v4 eller v6 på bakgrunn av \ informasjon fra navneserver (ang. destinasjon) \ Hva hvis det returneres både en v4 og en v6 adresse? [ Da må det velges, enten av applikasjonen eller at resolveren filtrerer / bestemmer prioriteringen. Datakom høsten

52 IPv6 i IPv4 t unnel RFC2893 IPv6 IPv6 IPv4 IPv6 Datakom høsten

53 Adresse og prot ok ollk onvert ering IPv4 IPv6 RFC2765, RFC2766 IPv6 IPv4 Datakom høsten