Network Layer (= Internet Protocol)

Transkript

1 Layer 3: Network Layer (= Internet Protocol) Aufgabe: Weltweite Vernetzung zum Internet. Das geschieht durch die Koppelung von einzelnen LANs (Local Area Networks) zu WANs (Wide Area Networks). Neue Adressen: IP-Adressen (verbundene Geräte haben ähnliche Adressen) Uni-Innsbruck Versionen: IPv4: aktuell IPv6: wird immer häufiger eingesetzt IPv4: Adressen haben 32 Bit, oder 4 Bytes, Sie werden byteweise dezimal angegeben und mit Punkten getrennt: Institutsserver mat Instituts-WWW-Server techmath bei der Definition der IPv4-Adressen wurden 5 Klassen von IP-Adressen eingeführt. Das 1. Byte der Adresse entscheidet über die Klassenzugehörigkeit: A-Klasse: 0 bis 127, die letzten 3 Bytes für Hosts (16 Mio.) im Netzwerk es gibt 128 A-Klasse-Netzwerke B-Klasse: 128 bis 191, die letzten 2 Bytes für Hosts (65000) es gibt ca B-Klasse Netzwerke (128.0 bis ) C-Klasse: 192 bis 223, das letzte Byte für Hosts (256 Adressen) es gibt ca. 4 Mio. Netzwerke ( bis ) D-Klasse: : Multicast-Adressen E-Klasse: : reserviert, die einzige verwendete Adresse ist limited Broadcast-Adresse Aufbau: Classfull IPv4: Bytes 1, 1+2, bilden die Netzwerkadresse der Klassen A, B, C, die restlichen Bytes die Interface-Adresse (= Node), zusammen sind es immer 4 Bytes A-Klasse: 1 Netz + 3 Nodes B-Klasse: 2 Netz + 2 Nodes C-Klasse: 3 Netz + 1 Nodes wenig LANs, diese sind riesig nur LANs à Hosts 4 Mio. LANs mit maximal 256 Hosts

2 IPv6: 16 Bytes, nur hexadezimale Angabe, keine Klasseneinteilung Kommando: "ping" "tracert" Verbindungstest (Win) Routenverfolgung "traceroute" (Unix) Routenverfolgung Praktisches Beispiel: 2 PCs ("2 PCs.pkt") An diesem Beispiel kann man unterschiedliche Twisted-Pair Kabeln austesten. Eine falsche Wahl verhindert, dass die Anschlüsse hochfahren (LEDs bleiben rot). Anschließend konfigurieren wir die PCs auf die 2 angegebenen IPv4-Adressen und lassen den Rest auf Default stehen. Die 2 PCs sollten sich erreichen können (ping-kommando). Startet man auf dem PC einen Web-Browser, sollte dieser Webseiten des Servers abrufen können.

3 Im Simulationsmodus ist eine genaue Verfolgung aller Pakete möglich. Vorher muss man die ganze Konfiguration neu starten, damit alles auf Null gestellt wird: PC0: ping (den Server): 1) Es wird ein ping-paket (vom Typ ICMP) erzeugt, das aber noch unvollständig ist, da die MAC-Adresse des Servers nicht bekannt ist! Man sieht, dass die entsprechenden Felder im Layer 2 noch leer sind. 2) Um die MAC-Adresse des Servers zu bestimmen, wird das ARP-Protokoll (Address Resolution Protocol) verwendet (Address schreibt man im Englischen tatsächlich mit Doppel-d!!). Dies ist ein Layer-2 Protokoll, das an die L2-Broadcastadresse ff:ff:ff:ff:ff:ff sendet (an alle) mit der Bitte, dass sich der richtige Empfänger (der die richtige IP-Adresse besitzt) melden möge (ARP-Request). Der Host mit der gesuchten IP-Adresse soll sich beim Anfrager melden (ARP-Reply) und diesem seine MAC-Adresse mitteilen. 3) Der ARP-Request geht an den Switch und wird auf allen Leitungen (Broadcast) weitergesendet. Der angesprochene Server sendet daraufhin seine MAC-Adresse in einem ARP-Antwortpaket an den anfragenden PC0. Dieses Paket ist ein Unicast (siehe die Destination-MAC) und wird vom Switch nur an die richtige Leitung weitergeleitet.

4 4) Nach dem Eintreffen der MAC-Adresse wird das ICMP-ping-Paket (ICMP Message Type 8) fertig aufgebaut und abgesendet. Es erreicht auf direktem Weg den Server, der ein Antwortpaket (pong: Type 0) zurücksendet. Der PC gibt am Bildschirm eine Empfangsbestätigung aus mit zusätzlichen Timing-Informationen (Ping-Zeit). Ein niedriger Wert bedeutet eine gute, latenzarme Verbindung. Das ganze wird unter Windows noch 3 Mal wiederholt, UNIX versendet bis zum Programmabbruch laufend ping-pakete. 5) Ändert man die Subnetzmaske (Subnet Mask) auf das in Innsbruck verwendete (/26) bei einem oder bei beiden PCs, so ist keine Kommunikation mehr möglich. Subnetzmaske: legt fest, welche IP-Adressen zum eigenen LAN gehören. Normalerweise denkt ein Host, dass das gesamte Netzwerk, aus dem er eine IP-Adresse besitzt, direkt auf Layer 2 (d.h. nur über Switches) verbunden ist, also in seinem LAN liegt. Vielfach ist so ein Netzwerk infolge von zu großen Distanzen oder von zu vielen PCs unmöglich oder nicht wünschenswert. Der Netzwerk-Administrator kann daher sein Netzwerk weiter in sogenannte Subnetzwerke unterteilen. Alle diese Subnetzwerke müssen auf Layer 2 jetzt wirklich verbunden sein, also in sich jeweils ein physikalisches LAN bilden. Die Subnetzmaske definiert nun für jeden Host die Größe seines eigenen Subnetzwerkes. Sie markiert jene Bits durch die Binärziffer 1, die in der eigenen und der fremden Adresse übereinstimmen müssen, um im selben Subnetz zu liegen. Ist z.b. die Subnetzmaske (32 Bits), so müssen die eigenen und die fremde Adresse in der ersten 5 Bits (dort wo die Einser stehen) übereinstimmen (das Beispiel ist sicher nicht praxisnah und nur zur Veranschaulichung). Die Subnetzmaske wird entweder wie eine IP-Adresse angegeben (obwohl sie eigentlich keine ist) oder aber in der Suffix-Schreibweise: Man gibt nur die Anzahl der Einser 1 an, die am Anfang stehen müssen. gültige Subnetzmasken sind z.b.

5 binär (mit Punkten nach 8 Bits!) IPv4 Suffix / /8 Standard in Klasse A /16 Standard in Klasse B /24 Standard in Klasse C /26 Uni Innsbruck Es gibt also nur 33 mögliche Subnetzmasken (/0 bis /32). Bei Masken ist es nicht erlaubt, Nullen und Einser zu mischen, was bei normalen IPv4-Adressen natürlich gestattet ist. Interpretation der Subnetz-Maske /n: Stimmt die Zieladresse auf den ersten n Bits mit der eigenen IP-Adresse überein, so liegt sie im selben LAN. Andernfalls liegt sie nicht selben LAN und ist u.u. nicht direkt erreichbar. Betrachten wir z.b. die IPv4-Adressen von PC0 und dem Server: = = Man sieht, dass die binären Darstellungen sich an der 18. Ziffer von links unterscheiden! Maske /16 oder : Adressen stimmen in den ersten 16 Bit überein -> selbes LAN: Also wir die Kommunikation versucht und kommt auch zustande. Maske /26 oder : Adressen stimmen nicht überein -> unterschiedliche LANs. Der betreffende PC versucht erst gar keine Kommunikation, da er annimmt, dass sich das Ziel nicht im selben LAN befindet und daher nicht auf Layer 2 erreichbar ist. Aufgrund unterschiedlicher Masken kann das Ergebnis der Überprüfung zu anderen Resultaten führen. Deshalb funktioniert die Kommunikation einmal, das andere Mal nicht! 1) Adressen im selben LAN: Es wird versucht, über reine L2-Kommunikation das Paket zu versenden, d.h. es wird mittels ARP die MAC-Adresse des Ziels ermittelt und das Paket versendet. 2) Adressen nicht im selben LAN: Es muss ein Gateway bekannt sein, das das Paket weiterleiten kann (eine Zwischenstation). Dieses Gateway muss im selben LAN liegen und das Paket wird an dieses Gateway per L2-Kommunikation versendet (das IP- Paket selbst bleibt unberührt, nur der L2-Frame wird an das Gateway adressiert!). PCs verwenden normalerweise dasselbe Gateway für alle Adressen, die nicht im eigenen Subnetz liegen. Deshalb heißt dieses Gateway dann auch Standardgateway oder auch Default Gateway.

6 Beispiel 2: 2 PCs + Router ("2 PCs + Router.pkt") Statt der Verbindung zwischen den Switches wird ein Router dazwischen platziert. Beide PCs erhalten die richtige Subnetzmaske für Innsbruck (/26). Der Router0 besitzt 2 Netzwerk-Schnittstellen, die an die zu verbindenden Netzwerke angeschlossen wurden. Traditionell bekommen diese Schnittstellen die höchstmöglichen Adressen (das sind die vorletzen Adressen, da die letzte Adresse als Broadcast dient) im jeweiligen Netzwerk, das sind (siehe eigenen PC) und Die Routerinterfaces müssen außerdem (Cisco-Eigenheit) erst aktiviert werden, bevor sie aktiv werden. Ein ping von PC0 zu Laptop0 funktioniert noch genauso wenig wie ohne Router. Sie können sich nicht erreichen und es fehlr das Standard-Gateway. Erst wenn man auf PC0 als Gateway die Routeradresse einträgt, kann der PC0 den Laptop0 erreichen. Allerdings kommt die Antwort (das pong-paket) noch nicht zurück, da man auch auf dem Server das Gateway konfigurieren muss:

7 Erst jetzt funktioniert das Ping. Mit dem Kommando tracert (Windows) bzw. traceroute (Unix) kann man alle Zwischenstationen (Router) auf dem Weg zum Zielrechnen herausfinden: Reservierte Netzwerke und IP-Adressen: /32 unspezifizierte IP-Adresse /8 reserviert für private Netzwerke /8 loopback Netzwerk ( : localhost (der Host selbst!)) /16 reserviert für link local Adressen (Microsoft: APIPA-Adressen) /16 reserviert für private Netzwerke /16 reserviert für private Netzwerke /24 reserviert für private Netzwerke /24 reserviert für private Netzwerke /32 limited Broadcast Außerdem sind in jedem Netzwerk und in jedem Subnetzwerk die niedrigste (dient als Adresse des ganzen (Sub-) Netzwerks und die höchste Adresse (dient als Broadcast-Adresse für dieses (Sub-) Netzwerk) reserviert. Diese Adressen dürfen daher niemals an Hosts vergeben werden. z.b mit Netmask /26: liegt im Subnetz / Adresse des gesamten Subnetzes erste zulässige Host-Adresse letzte zulässige Hostadresse Broadcast-Adresse des gesamten Subnetzes Uni Innsbruck: / Das gesamte Uni-Ibk Netz Broadcast für die gesamte Uni Innsbruck

8 Private Netzwerke: Diese Adressen wurden ausdrücklich für private Netzwerke freigegeben. Solche Adressen dürfen im verbundenen Internet nicht verwendet werden. Jedes Paket von einer privaten Adresse oder an eine private Adresse wird im Internet nicht befördert (wird vom ersten Router ohne Rückmeldung vernichtet). Alle Privaten Netze dürfen daher beliebig oft verwendet werden, da sie nicht über das Internet direkt verbunden sind (siehe NAT unten). TTL: Time To Live Jedes IP-Paket besitzt dieses Feld. Befördert ein Router ein Paket weiter, zieht er 1 vom Inhalt ab. Wird die TTL dadurch zu 0, wird das Paket verworfen und der Absender informiert (mittels eines ICMP-Pakets). Diesen Umstand macht sich das traceroute (tracert unter Windows) zu Nutze. Es sendet Pakete mit TTL=1, dann TTL=2, dann TTL=3 usw. an den Zielhost. Je nach TTL verwirft der 1. Router oder der 2. Router oder 3. Router usw. Router das Paket und meldet dies per ICMP dem Absender. Dadurch weiß dieser die Route, die sein Paket genommen hat. NAT (Network Address Translation), Masquerading: Verwendet ein Netzwerk private Adressen, so muss sein Router beim Übergang zum Internet diese privaten Adressen durch nichtprivate IP- Adressen ersetzen. Dazu bedient er sich seiner (einzigen) nichtprivaten Adresse, die er besitzt, nämlich die IP-Adresse seiner Netzwerkschnittstelle zum Internet. Für das Internet ist daher der Router der eigentliche Absender, hinter seiner Adresse versteckt sich das ganze private Netzwerk, er maskiert es sozusagen. Senden mehrere Hosts aus dem privaten Netzwerk Pakete ins Internet, muss der Router sich merken, von wem ursprünglich das übersetzte Paket gekommen ist. Er verwendet dazu Informationen aus dem Kopf des höherwertigen Paketinhaltes (z.b. des ICMP- Headers oder des TCP-Headers), um diese Information intern zu speichern. Beispiel 3: WiFi + NAT ("WiFi + NAT.pkt") In diesem Beispiel wurde der Linksys WRT300N eingesetzt, um den "öffentlichen" Server mat1 an das private Netzwerk (bestehend aus PC0 und dem unverbundenen Laptop) zu koppeln. Der Wlan Router verwendet dazu das private Netz /24 und ist DHCP Server für dieses Netz (d.h. er verteilt IP-Adressen automatisch, siehe später). Der PC0 (der nach dem Start keine Netzwerk-Konfiguration besitzt), kann sich nun eine IP-Adresse per DHCP (er bekommt ) besorgen und anschließend die mat1 pingen ("ping "). Untersucht man dieses Paket am Wlan-Router, erkennt man: ursprüngliches Paket: > weitergeleitetes Paket: > Der Router ersetzt also die "private" Absenderadresse durch seine eigene "öffentliche" Adresse. Für den Server ist also der Router die eigentliche Datenquelle und er sendet seine Antwort an diesen. Dort geschieht genau der umgekehrte Vorgang: Der Router ersetzt seine "öffentliche" Adresse durch die "private" Adresse des PCs und leitet das Paket an diesen weiter. In Wirklichkeit ist das Ganze etwas komplizierter als hier dargestellt, weil der Router auch über alle NAT-Vorgänge Buch führen muss.

9 Um gleichzeitig mehrere Netzwerkverbindungen des Layer 4 (TCP oder UDP) per NAT ins Internet zu senden, muss der Router auch dir L4-Parameter (die Ports) verändern: PAT: Port Address Translation. Daher versteht man unter NAT eigentlich die Kombination NAT/PAT. CGN: Carrier Grade NAT Die IPv4 Adressenknappheit zwingt Provider, die mehr Kunden als IPv4 Adressen haben, zu diesem Schritt: Der Kunde bekommt nur mehr eine private IP-Adresse (meist 10.x.x.x) für seinen Router und muss sein Heimnetz (meist x.0) per NAT auf diese private IP- Adresse umsetzen. Der Provider setzt seinerseits NAT ein, um diese 10.x.x.x Adressen auf offizielle IP- Adressen umzusetzen. Dieser doppelte NAT-Aufwand ist dank schneller Hardware kaum spürbar, die ganze Sache hat aber für den Kunden mehrere Nachteile: Er hat keine offizielle IPv4-Adresse mehr. Fast immer verwenden mehrere Kunden dieselbe offizielle IPv4-Adresse eines Providers. Mehrere gleichzeitige L4-Verbindungen eines einzigen Kunden können im Internet durchaus mit verschiedenen IPv4-Absenderadressen des Providers unterwegs sein. Port-Forwarding aus dem Internet ist nur mehr über den Provider möglich (in der Praxis also unmöglich). Das bedeutet, dass kein IPv4-Serverbetrieb möglich ist. L3-Protokolle lassen sich meist nicht per NAT weiterleiten. Alle auf solchen Protokollen basierenden Dienste sind für den Kunden nicht möglich (z.b. IPv6-Tunnel, manche ICMP- Nachrichten, ) Routing: Unter Routing versteht man die Weiterleitung eines Paketes. Kann man den Zielhost per Layer 2 erreichen (das ist an dessen IP-Adresse, der eigenen IP-Adresse und der eigenen Subnetzmaske erkennbar), wird das Paket per L2-Transport an diesen gesendet (ARP usw.). Ist der Zielhost nicht direkt erreichbar, muss das Paket an eine andere Empfangsstelle (= Router) weitergeleitet werden. Dieser übernimmt den Weitertransport des Pakets usw., bis es schließlich am Zielhost eintrifft. Jeder Router sollte das Paket näher zum eigentlichen Ziel bringen, wozu natürlich genaue Kenntnis der Netzwerkverbindungen (Netzwerk-Topologie) erforderlich ist. Jeder Router verfügt über Tabellen, in denen alle Netzwerke und der beste Weg dahin gespeichert sind. Diese Tabellen werden nicht mehr händisch verwaltet. Vielmehr lernen die Router untereinander durch den Austausch von Router-Informationen (= Routing-Protokolle). Im Grunde macht die Verwaltung des Internets dank hochintelligenter Protokolle oft weniger Arbeit als die Verwaltung eines Heimnetzes. Leider weisen aber selbst diese ausgeklügelten Routingprotokolle noch

10 Sicherheitslücken auf bzw. sind die Implementierungen in den Routern fehlerhaft, sodass es auch heute noch zu Internetausfällen infolge Software-Bugs kommen kann (zuletzt 2009 geschehen, als ein kleiner slowakischer Provider praktisch alle Cisco-Router weltweit lahmgelegt hat). Am PC ist diese Tabelle übrigens auch vorhanden, allerdings in einer stark abgekürzten Variante: Sende alles im selben Subnetz direkt an den Empfänger, alles übrige an das Default Gateway. Kommando: "route print" (Windows) bzw. "route [-n]" (Unix)