Globale Vernetzung Stand Telekommunikationsdienste und -protokolle. Internet-Ausbau am Beispiel Esnet / Qwest. Globale Vernetzung Stand 1997

Transkript

1 Globale Vernetzung Stand 1991 Telekommunikationsdienste und -protokolle 9. Das Internet der neuen Generation TKDP - 9. Das Internet der neuen Generation 260 Globale Vernetzung Stand 1997 Internet-Ausbau am Beispiel Esnet / Qwest TKDP - 9. Das Internet der neuen Generation 261 TKDP - 9. Das Internet der neuen Generation 262

2 Motivation für eine neue Internet-Protokollsuite Adressierungsprobleme IP-Adressraum kaum mehr ausreichend Class-B-Adressen sind nahezu erschöpft CIDR nur Übergangslösung Keine hierarchische Adressierung Routing-Tabellen wachsen sehr schnell, daher ineffizientes Routing Sicherheitsprobleme Verstärkte Dienstgüteanforderungen durch Multimediaanwendungen TKDP - 9. Das Internet der neuen Generation 263 Geschichte von IPv Call for Proposals für IP next generation (IPng) in RFC Vorschlag: SIPP (Simple Internet Protocol Plus) als Kombination aus drei eingereichten Vorschlägen 1995 Proposed Standard Internet Protocol Version 6 in RFC 1883 erste prototypische Implementierungen sanfte Migration erwünscht 1996 Erstes IPv6-Backbone (6Bone), erste Produkte am Markt erhältlich 1998 IPv6 als RFC 2460 zum Draft Standard erhoben 2002 Verbreitung noch immer sehr gering Änderungen / Verbesserungen immer noch in Diskussion TKDP - 9. Das Internet der neuen Generation 264 Eigenschaften von IPv6 im Überblick Erweiterte Adressierungsmöglichkeiten Neues IP-Paketkopfformat Einfachere Struktur Verbesserte Behandlung von Optionen Segmentierung nur Ende-zu-Ende Autokonfiguration von IP-Systemen Dienstgüteunterstützung Multicast-Integration Sicherheitsvorkehrungen TKDP - 9. Das Internet der neuen Generation 265 IPv6-Adresse 128 bit lange Adressen Theoretisch 3, Adressen Optimistische Abschätzung: pro m 2 Pessimistische Abschätzung (RFC1715): pro m 2 Neue Notation 8 durch Doppelpunkte getrennte 4-stellige Hexadezimalzahlen 5800:0000:0000:0000:0000:0000:0056:0078 Reihen von Nullen können weggelassen werden 5800::56:78 IPv6-Adressen können Strukturinformation zur hierarchischen Lokalisierung beinhalten TKDP - 9. Das Internet der neuen Generation 266

3 IPv6-Adressen: aggregierbare Unicast-Adresse Top-Level Aggregation (TLA) große Internet Service Providers (ISP) mit Transitnetzen, an denen andere ISPs angeschlossen sind Next-Level Aggregation (NLA) Organisationen auf einer niedrigeren Stufe Mehrere NLA-Ebenen möglich Site-Level Aggregation (SLA) Individuelle Adressierungshierarchie einer einzelnen Organisation Öffentliche Topologie TLA ID Res. NLA ID SLA ID Interface ID Standort-Topologie 16 IPv6-Adressen: Spezielle Unicast-Adressen Lokale Unicast-Adressen Link-lokal für Konfigurationszwecke oder IP-Netze ohne Router Standort-lokale für noch nicht an das Internet angeschlossene IP-Netze, einfach rekonfigurierbar Kompatible Unicast-Adressen IPv4-kompatibel: Präfix (96 0 -Bits) + IPv4-Adresse IPv4-mapped: Präfix (80 0 -Bits Bits) + IPv4- Adresse IPX-kompatibel oder OSI-kompatibel Unspezifizierte Adresse 0::0 (oder ::) beim Booten Loopback-Adresse 0::1 (oder ::1) entspricht der v4-adresse TKDP - 9. Das Internet der neuen Generation 267 TKDP - 9. Das Internet der neuen Generation 268 IPv6-Adressen: Anycast Neuer Adresstyp in IPv6 Teil des Unicast-Adressraums Adressierung einer ganzen Gruppe, der am wenigsten belastete / nächste / am besten erreichbare... IP-Knoten antwortet Für jede Anycast-Adresse existiert ein eigener Eintrag in der Routing-Tabelle Anycast-Adressierung somit nur für Router relevant Anwendungsbeispiel: Verteilung eines Web- Servers auf mehrere physikalische Knoten IPv6-Adressen: Multicast Alle Router und Endsysteme unterstützen Multicast Vordefinierte Multicast-Gruppen für Kontrollfunktionen IGMP wurde in ICMPv6 integriert Die Multicastadresse enthält zusätzlich Flags (Unterscheidung temporär/permanent) Scope (Wirkungsgrad / Reichweite des Pakets) bit Flags Scope 4 bit 4 bit Gruppenidentifikation 112 bit TKDP - 9. Das Internet der neuen Generation 269 TKDP - 9. Das Internet der neuen Generation 270

4 Vergleich der Adressierungsarten in IPv4 und IPv6 Paketköpfe Vergleich zwischen IPv4 und IPv6 Adressierungsart IPv4 IPv6 Verwendete Notwendige Schnittstellen Auslieferungen V HL Identifier TOS Total Length Segmentierinfo V C Flow Label Payload Length Next hdr. Hop Limit Unicast Multicast Broadcast Anycast Obligatorisch Optional Obligatorisch Obligatorisch Obligatorisch Obligatorisch 1 Gruppe Alle Gruppe Alle in der Gruppe Alle TKDP - 9. Das Internet der neuen Generation TTL Protocol IP Source Address Header Checksum IP Destination Address 20 byte V: Version HL: Header Length TOS: Type of Service TTL: Time To Live C: Class : gelöscht : verschoben 128 bit Source IPv6 Address 128 bit Destination IPv6 Address 40 byte TKDP - 9. Das Internet der neuen Generation 272 Erweiterungspaketköpfe Verkettung von Erweiterungspaketköpfen (Extention Headers) Kleiner minimaler Paketkopf Je nach Anforderungen seitens der Anwendungen und/oder Eigenschaften der Netze Einfügen von Erweiterungspaketköpfen in bestimmter Reihenfolge Verkettung der Erweiterungspaketköpfe Einfache Einführung neuer zukünftiger Erweiterungen und Optionen Router muss nicht alle Erweiterungspaketköpfe bearbeiten Aufgaben der Erweiterungspaketköpfe beispielsweise Sicherheitsüberprüfung Segmentierung Source Routing Netzmanagement TKDP - 9. Das Internet der neuen Generation 273 Beispiele für Erweiterungspaketköpfe IPv6-Header NH IPv6-Header NH TCP-Header +Daten Routing Header NH TCP-Header +Daten Routing IPv6-Header Fragment Header Header NH NH NH NH = Next Header TCP-Header +Daten TKDP - 9. Das Internet der neuen Generation 274

5 ICMPv6 ICMPv6 ersetzt die Protokolle ICMP(v4), IGMP(v4) und ARP(v4) ICMPv6 wird über IPv6 transportiert Wert des Next Header -Felds: 58 Liefert so viel wie möglich vom betroffenen Paket zurück, ohne die minimale MTU von 576 byte zu überschreiten Arbeitet wie TCP und UDP mit einem Pseudo-Header: Type Code Depending on Type Additional Data depending on Type Checksum IPv6: Segmentierung Nur der Sender kann Segmentieren Ist das Paket zu groß, senden die Router eine ICMPv6-Nachricht packet too big Feststellen der maximalen Paketgröße (Maximum Transfer Unit MTU) mittels Angabe im ICMPv6-Paket: MTU= 1500 SYN; MSS=1440 Data; 1440 byte ICMPv6 error Packet too big MTU=576 R1 MTU= 576 R2 MTU= 1500 SYN; ACK MSS=1440 TKDP - 9. Das Internet der neuen Generation 275 TKDP - 9. Das Internet der neuen Generation 276 IPv6: Unterstützung mobiler Knoten Mobile Rechner sind ohne Umkonfiguration ihrer IP-Rechner nicht in einem Fremdnetz betreibbar Durch Autokonfiguration bekommen Rechner eine neue gültige IP-Adresse Damit sie erreichbar bleiben, bleibt die alte IP-Adresse weiterhin gültig Spezielle Architektur für das Weiterleiten von IP-Nachrichten notwendig Spezielles Kapitel zu Internet und Mobilität Heimatnetz? Fremdnetz Neue, gültige und alte IP-Adresse TKDP - 9. Das Internet der neuen Generation 277 IPv6: automatische Adresskonfiguration Plug & Play Beschaffung der eigenen IP-Adresse Entdeckung doppelter IP-Adressen Adressauflösung Bestimmung von ortsabhängigen Parametern (Subnetz-ID, MTU, DNS-Server,...) Entdeckung von Routern Unterstützung mobiler Endgeräte Prinzip der Nachbarschaftserkennung (Neighbour Discovery) Spezielle ICMP-Nachrichten: Router Solicitation / Advertisement Neighbour Solicitation / Advertisment TKDP - 9. Das Internet der neuen Generation 278

6 Allgemeine Sicherheitsziele Merkformel für Sicherheitsziele: CIA Vertraulichkeit (Confidentiality) Geheimhaltung der Daten Integrität (Integrity) Unversehrtheit der Daten Authentizität (Authenticity) Gesicherte Datenherkunft Zusätzliches wichtiges Ziel: Verbindlichkeit (Non-Repudiability) Nichtabstreitbarkeit der Datenherkunft wichtig z.b. bei Verträgen Einfaches Modell der Datenübertragung Alice Passiver Angreifer Aktiver Angreifer Bob Passiver Angreifer: kann nur abhören, nicht manipulieren Bedrohung für Vertraulichkeit Aktiver Angreifer: kann abhören, ändern, löschen, duplizieren Bedrohung für Vertraulichkeit, Integrität, Authentizität TKDP - 9. Das Internet der neuen Generation 279 TKDP - 9. Das Internet der neuen Generation 280 Bedrohungen Abhören übertragener Daten Modifizieren übertragener Daten Ändern, Löschen, Einfügen, Umsortieren von Datenblöcken Maskerade Vorspiegeln einer fremden Identität Versenden von Nachrichten mit falscher Quelladresse Unerlaubter Zugriff auf Systeme Stichwort Hacking Sabotage (Denial of Service) gezieltes Herbeiführen einer Überlastsituation Abschießen von Protokollinstanzen durch illegale Pakete Angriffstechniken Anzapfen von Leitungen oder Funkstrecken Zwischenschalten (man-in-the-middle attack) Wiedereinspielen abgefangener Nachrichten (replay attack) (z.b. von Login-Nachrichten zwecks unerlaubtem Zugriff) gezieltes Verändern/Vertauschen von Bits oder Bitfolgen (ohne die Nachricht selbst entschlüsseln zu können) Brechen kryptographischer Algorithmen Gegenmaßnahmen: keine selbstgestrickten Algorithmen verwenden, nur bewährte und als sicher geltende Algorithmen! auf ausreichende Schlüssellänge achten Möglichkeiten zum Auswechseln von Algorithmen vorsehen TKDP - 9. Das Internet der neuen Generation 281 TKDP - 9. Das Internet der neuen Generation 282

7 Sicherheitsdienste Überwiegend mit kryptographischen Mechanismen: Authentisierung von Datenpaketen (data origin authentication) von Systemen/Benutzern (entity authentication) Integritätssicherung (integrity protection) häufig kombiniert mit Daten-Authentisierung Verschlüsselung (encryption) Schlüsselaustausch (key exchange) Ohne kryptographische Mechanismen: Zugriffskontrolle (access control) Einbruchserkennung (intrusion detection; hier nicht behandelt) Symmetrische Kryptographie Instanzen besitzen gemeinsamen geheimen Schlüssel. Vorteile: geringer Rechenaufwand kurze Schlüssel Nachteile: Schlüsselaustausch schwierig keine Verbindlichkeit TKDP - 9. Das Internet der neuen Generation 283 TKDP - 9. Das Internet der neuen Generation 284 Asymmetrische Kryptographie Engl. Public-Key-Kryptographie Schlüsselpaar aus privatem und öffentlichem Schlüssel Vorteile: öffentliche Schlüssel sind relativ leicht verteilbar Verbindlichkeit möglich Nachteile: hoher Rechenaufwand längere Schlüssel Hybride Systeme In der Praxis: Hybride Systeme Zunächst: Benutzer-Authentisierung und Austausch eines Sitzungsschlüssels (symmetrisch oder Public-Key) Danach: Authentisierung/Verschlüsselung der Nutzdaten mit Sitzungsschlüssel (symmetrisch) Bei langen Sitzungen sollte Sitzungsschlüssel gelegentlich ausgewechselt werden (z.b. stündlich) TKDP - 9. Das Internet der neuen Generation 285 TKDP - 9. Das Internet der neuen Generation 286

8 IPv6: Sicherheitsvorkehrungen IPsec Sicherheit auch auf IP-Ebene Verschlüsselung Authentifizierung Realisierung durch spezielle Erweiterungspaketköpfe Authentication Header Überprüfung der Datenintegrität Überprüfung der Senderidentität Security Encapsulation Header Vertraulichkeit Integrität und Authentizität IPv6 und Multimedia IPv6 ist für Multimediaströme vorbereitet Flow Label Pakete mit gleichem Ziel bekommen identisches Label und können so gleichbehandelt werden Priorität Einstufung der Pakete nach Dringlichkeit Grobe Unterscheidung Non real time Real time Spezielle Mechanismen in den Routern notwendig TKDP - 9. Das Internet der neuen Generation 287 TKDP - 9. Das Internet der neuen Generation 288 Migration hin zu IPv6 Zurzeit kommunizieren die Rechner im Internet vorwiegend über IPv4 Wie migriert man Millionen von Rechnern hin zu IPv6? Alle Rechner mit einem Schlag umstellen nicht möglich Langsame, schrittweise Migration auf IPv6 mit zeitweise Co-Existenz beider Standards Verfahren Tunneling IPv4 t Dual Stack Protokolltranslation IPv6 je nach Verbreitungsgrad optimal TKDP - 9. Das Internet der neuen Generation 289 IPv6-Paket Migrationsverfahren: Tunneling IPv6-Pakete werden in speziellen Routern in IPv4- Pakete eingekapselt und wieder ausgepackt. Kommunikation nur zwischen solchen Tunnelendpunkten möglich Andere Router bemerken nichts von IPv6 Automatisch (Zuweisung von IPv4-kompatiblen Adressen) oder konfigurierbar (fest konfigurierte Adressen für Tunnelendpunkte) IPv6-Paket IPv6- R2 IPv4- R1 IPv4- R2 IPv4- R3 IPv6- R1 IPv6-Paket TKDP - 9. Das Internet der neuen Generation 290

9 Migrationsverfahren: Dual Stack Sowohl Endknoten als auch Router verfügen über zwei Protokollstacks: IPv4 und IPv6 Der DNS-Rückgabewert entscheidet, welcher Stack verwendet wird DNS muss also auch beide Protokolle unterstützen IPv4-Adressen können so eingespart werden UDP für IPv4 Anwendungen Socket-Schnittstelle TCP für IPv4 UDP für IPv6 IPv4 etc. Netzschnittstelle IPv6 etc. TCP für IPv6 Migrationsverfahren: Protokolltranslation Übersetzung von IPv4-Pakete in IPv6- Pakete Anwendungsschicht muss davon unabhängig bleiben Beispiele Stateless IP/ICMP Translator (SIIT) Network Address Translation Protocol Translation (NAT-PT) Socket-based IPv4/IPv6 Gateway Bump In The Stack (BIS) TKDP - 9. Das Internet der neuen Generation 291 TKDP - 9. Das Internet der neuen Generation 292 IPv6 in der Praxis Betriebssysteme sind in der Regel IPv6-tauglich Sehr viele Produkte unterstützen im Grunde genommen den neuen IP-Standard Aber In der Regel wird IPv4 verwendet (Investitionsschutz) Ergänzungen zur IPv4-Welt ermöglichen weiterhin den Einsatz der alten Technik Anwendungen benötigen (noch) nicht die speziellen Eigenschaften von IPv6 IPv6 kommt immer noch nur in speziellen Forschungsnetzen zum Einsatz 6bone als IPv6-Backbone Internet2 als Entwicklungsplattform Das 6Bone Weltweites IPv6-Testnetzwerk Migrationsforschung Verbindung der IPv6-Hauptknoten über konfigurierte IPv4-Tunnel TKDP - 9. Das Internet der neuen Generation TKDP - 9. Das Internet der neuen Generation 294

10 6Bone in Europa Internet 2 Das Internet 2 ( ist ein Konsortium, in dem 180 Universitäten organisiert sind, die mit Industrie und Regierung zusammenarbeiten, um neue Netzanwendungen und technologien zu entwickeln und zu realisieren. Die Arbeit wird in so genannten Working Groups durchgeführt: Engineering (IPv6, Multicast, QoS, Routing, Sicherheit...) Middleware (PKI, VidMid, MACE (Middleware Architecture Committee for Education)...) Anwendungen (Arts & Humanities, Digital Video, Health Sciences, Veterinary Medical, Voice over IP...) TKDP - 9. Das Internet der neuen Generation 295 TKDP - 9. Das Internet der neuen Generation Internet2 Universities TKDP - 9. Das Internet der neuen Generation 297 TKDP - 9. Das Internet der neuen Generation 298

11 Download of The Matrix DVD (Comparison of the Internet2 Land Speed Record) Abilene Network Logical Map November 2003 TKDP - 9. Das Internet der neuen Generation 299 TKDP - 9. Das Internet der neuen Generation 300 Aktueller Status des Abilene-Netzes Literatur BRAUN, T.: IPnG Neue Internet-Dienste und virtuelle Netze: Protokolle, Programmierung und Internetworking. Heidelberg : dpunkt- Verlag, ISBN EFFELSBERG, W.: Vorlesung Rechnernetze. Sommersemester GROSSMANN, H.P.: Vorlesung Kommunikationsnetze Historische Entwicklung des Internet. Sommersemester Internet 2 Information Kit NAU, T.: Vorlesung Computer Networks IPv6. Wintersemester 2001/02. NIEMANN, M.: Vorlesung Rechnernetze IPng / IPv6. Sommersemester ZITTERBART, M.: Vorlesung Next Generation Internet. Sommersemester TKDP - 9. Das Internet der neuen Generation 301 TKDP - 9. Das Internet der neuen Generation 302

12 RFCs BRADNER, S. ; MANKIN, A.: IP: Next Generation (IPng) White Paper Solicitation, Dezember 1993 (RFC1550). CALLON, R. ; HASKIN, D.: Routing Aspects of IPv6 Transition, September 1997 (RFC2185). DEERING, S. ; HINDEN, R.: Internet Protocol, Version 6 (IPv6) Specification, Dezember 1998 (RFC2460). NARTEN, T. ; NORDMARK, E. ; SIMPSON, W.: Neighbor Discovery for IP Version 6 (IPv6), Dezember 1998 (2461). THOMSON, S. ; NARTEN, T.: IPv6 Stateless Address Autoconfiguration, Dezember 1998 (RFC2462). GILLIGAN, R. ; NORDMARK, E.: Basic Transition Mechanisms for IPv6 Hosts and Routers, Oktober 2005 (RFC4213). CONTA, A. ; DEERING, S. ; GUPTA, M.: Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6) Specification, März 2006 (RFC4443). TKDP - 9. Das Internet der neuen Generation 303