VPN: wired and wireless

Transkript

1 VPN: wired and wireless Fachbereich Informatik (FB 20) Fachgruppe: Security Engineering Modul: LV-02 er Skriptum und Literatur: Wolfgang BÖHMER, TU-Darmstadt, Hochschulstr. 10, D Darmstadt, Dep. of Computer Science, Security Engineering Group VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt

2 Wichtige Information zur Vorlesung und den Übungen Ziel der Vorlesung/Übungen Freiwilliges Lernen Gute und ruhige Lernatmosphäre Hausordnung während der Vorlesung 1. Mobiltelefone sind auszuschalten 2. Laptops können angeschaltet sein, um die Vorlesung zu verfolgen 3. Keine Privatgespräche mit Kommilitonen in der Vorlesung 4. Kein Essen (auch nicht vegetarisch) 5. Keine Verspätung VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 2

3 Vorlesungsinhalt LV-04 QoS in IP Netzen Dienstgüten (Cos) und (QoS) in IP-Netzen Integrierte Dienste und differenzierte Dienste Das Warteschlangenproblem Routing und Switching / ein Vergleich Das Ende der Flexibilität oder das N2-Problem Route at the edge schwitch at the Core / Hybride Netzstrukturen Multi-Protocol Label Switching (MPLS) Label distribution Label switched Path Messungen von QoS Aktive und passive Messungen Übungen Literatur VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 3

4 Dienstgüte (Cos) und (QoS) in IP-Netzen Quality-of-Service (QoS) Dienstgüten für eine einzelne Session, wie Latenzzeit, Jitter, Paketverlustrate Class-of-Service (CoS) gleichartige Datenströme werden in eine Klasse zusammengefaßt Dienstklasse setzt sich aus Untergruppen von Dienstgüte-Parameter zusammen Eigenschaften der Klassen stehen im direkten Verhältnis zu den Anwendungen Economy Class Business Class First Class VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 4

5 Dienstgüte (QoS) Alle Verfahren/Techniken die den Datenfluß im LAN/WAN so beeinflussen, dass ein Dienst mit einer festgelegten Qualität beim Empfänger ankommt. Charakterisierung eines Dienstes der beim Nutzer unmittelbar sichtbar wird. (Ende-zu-Ende) Qualität der Dienste wird an bestimmten Parametern gemessen. Im Fall eines Netz- bzw. VPN-Outsourcing können diese mit Service-Vereinbarungen gekoppelt werden. (SLA) Warum ist eine Messung von QoS erforderlich? Vorbereitung: Ausreichender Ressourcenbedarf, Kosten/Nutzen Überwachung: Ermittlung von Engpässen Kostenabrechnungen: Accounting und Billing okay? VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 5

6 Definitionsschwächen in der Dienstgüte Nachteil: Es gibt keine allgemeingültige Definition der Dienstgüte ITU-T favorisiert ein hierarchisches Model, das ATM als Basistechnik voraussetzt und drei Dienstklassen definiert ABT, DBR, SBR. ITU-X641-QoS: A set of qualities related to the collective behavior of one or more objects. Alle Verfahren, die den Datenfluss in LANs und/oder WANs so beeinflussen, dass der Dienst mit einer festgelegten Qualität beim Empfänger ankommt. ATM-Technik verknüpft die Dienstgüte mit Service-Parameter einer virtuellen Verbindung IETF hält für Echtzeitanforderungen mehrere Ansätze parat. In IPv6 Neudefinition des Flow- Label-Field, Priorisierung des Datenverkehrs mit DiffServ und Bandbreitenreservierung mit IntServ. MPLS zur Priorisierung OSI-Referenzmodell definiert Dienste, die von der Vermittlungsschicht an die übergeordnete Transportschicht angeboten werden. Beim Verbindungsaufbau werden gleichzeitig Dienstgüteparameter vereinbart Ergebnis: In der Praxis wird QoS durch proprietäre Lösungen bestimmt Keine herstellerübergreifende Lösung in Sichtweite VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 6

7 Typische Dienstgüteparameter Bandbreite: minimale, mittlere, maximale Verzögerung: inklusive der mit Jitter bezeichneten zeitlichen Schwankungen Zuverlässigkeit: gegenüber Ausfällen, Störungen und Übertragungsfehlern Verfügbarkeit: Bit- und Paketfehlerraten Allerdings dürfen durch QoS-Parameter andere Dienste nicht betroffen sein. Erforderlich sind QoS-Kontrollmaßnahmen RFC-1633 schlägt eine individuelle Behandlung und Kontrolle von Verkehrsflüssen nicht nur Ende-zu-Ende sondern auch bei Vermittlungsknoten vor. Priorisierung mittels Reservierung durch Zugangskontrolle und Signalisierung Granulierung der Dienstklassen kontra Verkehrsflüsse und Verbindungen VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 7

8 Integrierte und differenzierte Dienste (RSVP) RSVP ist ein Signalisierungsprotokoll und kein Routing-Protokoll (RFC-2205 bis 2210) Idee baut auf eine Reihe von Kontrollmechanismen auf. Ziel: gerechte Ressourcenaufteilung Zulassungskontrolle Reservierung in der Puffer-Bearbeitung bei Vermittlungsknoten Es werden neben der regulären best-effort Klassen drei weitere eingeführt Hard Realtime Delay Adaptive Elastic Applikations VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 8

9 Beispiel: Realtime Varianten hard, delay, elastic VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 9

10 RSVP in der Anwendung Signalisierung in einer Wolke Router-1 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des Senders Router-2 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des Router-1 Router-5 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des Router-4 Path Path 2 RSV Path Path Sender Router-4 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des Router-2 RSV RSV 6 5 RSV Empfänger VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 10

11 RSVP in der Anwendung Beispiel einer Signalisierung Sender Path Router-4 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des Router-2 Router-1 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des Senders RSV 1 Path Router-2 tauscht die IP-Adresse im last-hop-field mit eigener aus. Speichert aber die IP-Adresse des RSV-Message Router-1 Wegebestimmung und QoS Class RSV 3 Data 2 4 Flow Descriptor Filter- Spec. Packet Classifier Path RSV 6 Router-5 tauscht Router die IP-Adresse im last-hop-field mit eigener aus. Speichert RSV-Message aber die IP-Adresse des Router-4 Application Authority? Flow- Spec. Routing Ressources? Packet Scheduler Path 5 RSV Policy Control Admission Control Data Empfänger Priorisierung und Weiterleitung VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 11

12 Differenzierte Dienste (DiffServ) Klasseneinteilung in unterschiedliche Gruppen jeglicher Verkehr muss seiner Gruppenzugehörigkeit eingeordnet werden Re-definition des Servicetype-Feld (TOS) im IPv4 Header 64 Serviceklassen wurden definiert bezogen auf 3 Kategorien (PHB) jede Klasse ist mit einem anderen Verhalten der Router gekoppelt DiffServ definiert 3 PHB-Service-Level: DSCP DS-Field CU (EF) Expedited Forwarding (101100) (DF) Default Forwarding (000000) (AF) Assured Forwarding VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 12

13 DiffServ in der Anwendung (Per-Hop- Behavior) Datenströme werden zu Aggregates zusammengefasst Nicht jeder Datenfluss muss verwaltet werden (anders als bei InteServ) Daten folgen einem Domain-Konzept. Zuordnung erfolgt über das DSCP-Feld DiffServ erwartet von einem Router eine Warteschlangen Behandlung und Management zur Priorisierung der Pakete Paketbehandlung wird durch das DSCP-Feld gesteuert. Stark abhängig von der Router-kapazität und Konfigurierung Der einkommende Datenstrom wird am Ingress-Router in "Aggregates" aufgeteilt. Sender Empfänger Interne Systeme verarbeiten Pakete anhand der "Per-Hop- Behavoirs", die von den Zugangs-systemen definiert sind. VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 13

14 Warteschlangenverhalten (ungewichtet) VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 14

15 DiffServ: Warteschlangenverhalten HTTP Warteschlangen interpretieren das DS-Feld im IP-Header Unterschiedliche Ansätze eines Warteschlangenverhaltens (Queue, Priorität) Strict priority queuing (PQ) Weighted fair queuing (WFQ) Class-based queuing (CBQ) Weight round robin (WRR) 1036 SNMP PORT Queue 7 (höchste Priorität) Queue 6 Queue SAP/R3 SAP/R SNMP HTTP 80 Queue 4 Queue 3 Queue 2 Queue 1 (niedriegste Priorität) 30% mittlere Priorität (MP) 10% Kontrollinformationen (KI) PORT NP HP MP MP 10% niedrige Priorität (NP) 50% hohe Priorität (HP) HP HP HP VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 15

16 Routing und Switching A C Ø Weiterleitungsmechanismus wird durch hop-by-hop bestimmt. Ø Netztopologie wird z.b. mit OSPF erreicht. Ø Zeitraubender Prozess auf Layer-3 den nächsten hop zu bestimmen. D Eingangsbereich (Edge) C B Ø Label-Swapping Technologie einfach und in Hardware abbildbar. A Ø Verkehrssteuerung über definierte Wege erleichtert Netzwerkmanagement. Ø Im Core-Bereich wird typischerweise geswitcht. B Kernbereich (Core) D VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 16

17 Das N2-Problem bei Virtual Circuits (VC) VC VC = n (n-1) / 2 VC Beispiel: VC 1.) n = 4 -> VC = 6 2.) n = 5 -> VC =? VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 17

18 MPLS als Königsweg Route at the edge, switch at the core PACKET ROUTING HYBRID CIRCUIT SWITCHING IP MPLS +IP ATM Ø MPLS + IP kombiniert das Beste von IP- und das von der Circuit Switching Technologies. Ø ATM und Frame Relay sind nicht so einfach in der Lage gleiches wie MPLS für IP zu bieten. VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 18

19 MPLS Label Distribution Beispiel Label Verteilung Intf Dest Intf Label In Out Out Intf Label Dest Intf Label In In Out Out Request: Request: 47.1 Mapping: 0.40 Intf In Label In Dest Intf Out VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 19

20 Label Switched Path (LSP) Intf Label Dest Intf Label In In Out Out Intf In Label In Dest Intf Out Intf Dest Intf Label In Out Out IP IP VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 20

21 Messungen von QoS Aktive Messungen, Es muss hierzu ein ein Versuchsaufbau mit einem Netzwerk (VPN) erfolgen, in dem dann Pakete verschickt werden können. Auf Basis der verschickten Pakete können dann unterschiedliche Laufzeit Messungen erfolgen. Pakete können mit einem Traffic-Generator erzeugt werden und unterschiedlich gesteuert werden (vgl. DITG) Passive Messungen, Es wird in einem bestehenden Verkehrsfluss (WLAN) nicht eingegriffen, sondern die Pakete werden mitgeschnitten. (vgl. ). Eine oft durchgeführte Messung ist die Bestimmung der maximalen Datenrate und wie stark die Datenrate von der Signalqualität abhängt. In diesem Beispiel kann die Signalstärke des Senders über SNMP beim Empfänger abgefragt werden. Des Weiteren läuft auf dem Empfänger oder auf einem daran direkt angeschlossenem Gerät Iperf im UDP-Server-Mode VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 21

22 Framework für Metriken IPPM IP Performance Metrics Rahmenwerk für Metrikdefinitionen Gute konkrete Grundlage im IP-Bereich Keine konkrete Implementierung von Messverfahren Fokus auf Messungen der Transportprotokolle im Internet RTFM Real Time Flow Measurement passives Verfahren Traffic Flows in IP-Netzen, Flow = Auswahl des Traffic (MAC, IP.Port) Rule sets RFC 2722, RFC 2724, IETF Paketfluss erlaubt leichte Berechnung der Verlustrate und Delay VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 22

23 Messvoraussetzungen für aktive Messungen D-ITG (Distributed Internet Traffic Generator) VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 23

24 Quantifizierung von QoS Anforderungen mittels formaler Methoden nach den Ideen von F.Arbab Beispiel: Zur theoretischen Abschätzung von Multiplexern, um eine korrekte Bestimmung der CIR in einem Frame-Relay vornehmen zu können. In den letzen Dekaden wurden verschiedene stochastische quantitative Methoden eingesetzt, um dieses Anforderungen zu befriedigen, z.b. stochastische Petri-Netze, Interaktive Markov- Ketten, etc. F. Arbab (CWI, Amsterdam) hat mit seinen ABT/REO Modellen und den constraint Automaton Konzepten, den derzeit am weitesten an der Realität angenäherte Vorgehensweise. VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 24

25 Definition eines abstrakten Datenstroms für QoS Betrachtungen Es ist notwendig einen Datenstrom zu definieren, der dann weiter verwendet wird. Es wird ein zeitabhängiger Datenstrom z.b. für einen Port A definiert. Es gilt das als Datenstrom und als Zeitstrom definiert wird. VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 25

26 Übungen zur Vorlesung VPN Virtual Private Networks ÜBUNGEN LV-02 VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 26

27 Übung-LV02-Ü03 1. Was wird bei der MPLS-Technologie benötigt, um QoS umsetzen zu können? Nicht gemeint ist in diesem Zusammenhang (RSVP-TE, LSP) 2. Wie kann QoS-Service gemessen werden, bitte skizieren Sie jeweils einen Versuchsaufbau/Messaufbau und für eine aktive und passive Messung. Für die aktive Messung planen Sie bitte den D-ITG ein und für die passive Messung ein Netzwerk Tap an geeigneter Stelle. 3. Warum wird in MPLS-Domains kein Diff-Serv bzw. IntServ benötigt? 4. Gibt es auch QoS Ansätze auf Layer-2 im LAN? (falls ja, welche?) 5. Was wird unter Dienstgüten verstanden, und wozu werden diese benötigt? 6. Welche Anforderungen sind bei Voice-over-IP (VoIP) zu stellen? 7. Welche(s) Protokoll(e) wird/werden für VoIP eingesetzt? 8. Werden QoS-Parameter subjektiv oder objektiv gemessen (Begründen Sie Ihre Antwort)? 9. Welchen Vorteil kann einer formale Beschreibung von QoS-Anforderungen haben? Falls Sie eine Übung einreichen möchten, dann bitte in der folgenden Nomenklatur für die Datei LV-02-Ü03-Name.pdf VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 27

28 Literatur Vgl. Skript zur Vorlesung Netzwerkanalyse mit Linux PRTG- Manual Dipl. Arbeit, Universität München, Abbildung von QoS-Parametern auf einer geschichteten Messarchitektur, F. Uhl, 2003 VPN-Virtual Private Networks Vorlesung WS11-12 TU-Darmstadt Folie 28