Globale Vernetzung Stand Die Internet-Protokollwelt. Internet-Ausbau am Beispiel Esnet / Qwest. Globale Vernetzung Stand 1997

Transkript

1 Globale Vernetzung Stand 1991 Die Internet-Protokollwelt 9. Das Internet der neuen Generation Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 262 Globale Vernetzung Stand 1997 Internet-Ausbau am Beispiel Esnet / Qwest Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 263 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 264 1

2 Motivation für eine neue Internet-Protokollsuite Adressierungsprobleme IP-Adressraum kaum mehr ausreichend Class-B-Adressen sind nahezu erschöpft CIDR nur Übergangslösung Keine hierarchische Adressierung Routing-Tabellen wachsen sehr schnell, daher ineffizientes Routing Sicherheitsprobleme Verstärkte Dienstgüteanforderungen durch Multimediaanwendungen Geschichte von IPv Call for Proposals für IP next generation (IPng) in RFC Vorschlag: SIPP (Simple Internet Protocol Plus) als Kombination aus drei eingereichten Vorschlägen 1995 Proposed Standard Internet Protocol Version 6 in RFC 1883 erste prototypische Implementierungen sanfte Migration erwünscht 1996 Erstes IPv6-Backbone (6Bone), erste Produkte am Markt erhältlich 1998 IPv6 als RFC 2460 zum Draft Standard erhoben 2009 Verbreitung noch immer sehr gering Änderungen / Verbesserungen immer noch in Diskussion Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 265 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 266 Eigenschaften von IPv6 im Überblick Erweiterte Adressierungsmöglichkeiten Neues IP-Paketkopfformat Einfachere Struktur Verbesserte Behandlung von Optionen Segmentierung nur Ende-zu-Ende Autokonfiguration von IP-Systemen Dienstgüteunterstützung Multicast-Integration Sicherheitsvorkehrungen Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 267 IPv6-Adresse 128 bit lange Adressen Theoretisch 3, Adressen Optimistische Abschätzung: pro m 2 Pessimistische Abschätzung (RFC1715): pro m 2 Neue Notation 8 durch Doppelpunkte getrennte 4-stellige Hexadezimalzahlen 5800:0000:0000:0000:0000:0000:0056:0078 Reihen von Nullen können weggelassen werden 5800::56:78 IPv6-Adressen können Strukturinformation zur hierarchischen Lokalisierung beinhalten Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 268 2

3 IPv6-Adressen: aggregierbare Unicast-Adresse Top-Level Aggregation (TLA) große Internet Service Providers (ISP) mit Transitnetzen, an denen andere ISPs angeschlossen sind Next-Level Aggregation (NLA) Organisationen auf einer niedrigeren Stufe Mehrere NLA-Ebenen möglich Site-Level Aggregation (SLA) Individuelle Adressierungshierarchie einer einzelnen Organisation Öffentliche Topologie TLA ID Res. NLA ID SLA ID Interface ID Standort-Topologie 16 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 269 IPv6-Adressen: Spezielle Unicast-Adressen Lokale Unicast-Adressen Link-lokal für Konfigurationszwecke oder IP-Netze ohne Router Standort-lokale für noch nicht an das Internet angeschlossene IP-Netze, einfach rekonfigurierbar Kompatible Unicast-Adressen IPv4-kompatibel: Präfix (96 0 -Bits) + IPv4-Adresse IPv4-mapped: Präfix (80 0 -Bits Bits) + IPv4- Adresse IPX-kompatibel oder OSI-kompatibel Unspezifizierte Adresse 0::0 (oder ::) beim Booten Loopback-Adresse 0::1 (oder ::1) entspricht der v4-adresse Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 270 IPv6-Adressen: Anycast Neuer Adresstyp in IPv6 Teil des Unicast-Adressraums Adressierung einer ganzen Gruppe, der am wenigsten belastete / nächste / am besten erreichbare... IP-Knoten antwortet Für jede Anycast-Adresse existiert ein eigener Eintrag in der Routing-Tabelle Anycast-Adressierung somit nur für Router relevant Anwendungsbeispiel: Verteilung eines Web- Servers auf mehrere physikalische Knoten IPv6-Adressen: Multicast Alle Router und Endsysteme unterstützen Multicast Vordefinierte Multicast-Gruppen für Kontrollfunktionen IGMP wurde in ICMPv6 integriert Die Multicastadresse enthält zusätzlich Flags (Unterscheidung temporär/permanent) Scope (Wirkungsgrad / Reichweite des Pakets) bit Flags 4 bit Scope 4 bit Gruppenidentifikation 112 bit Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 271 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 272 3

4 Vergleich der Adressierungsarten in IPv4 und IPv6 Paketköpfe Vergleich zwischen IPv4 und IPv6 Adressierungsart IPv4 IPv6 Verwendete Schnittstellen Notwendige Auslieferungen V HL TOS Total Length Identifier Segmentierinfo V C Flow Label Payload Length Next hdr. Hop Limit Unicast Obligatorisch Obligatorisch 1 1 Multicast Optional Obligatorisch Gruppe Alle in der Gruppe Broadcast Obligatorisch Alle Alle Anycast Obligatorisch Gruppe 1 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 273 TTL Protocol IP Source Address Header Checksum IP Destination Address V: Version HL: Header Length TOS: Type of Service TTL: Time To Live C: Class : gelöscht : verschoben 20 byte 128 bit Source IPv6 Address 128 bit Destination IPv6 Address 40 byte Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 274 Erweiterungspaketköpfe Verkettung von Erweiterungspaketköpfen (Extention Headers) Kleiner minimaler Paketkopf Je nach Anforderungen seitens der Anwendungen und/oder Eigenschaften der Netze Einfügen von Erweiterungspaketköpfen in bestimmter Reihenfolge Verkettung der Erweiterungspaketköpfe Einfache Einführung neuer zukünftiger Erweiterungen und Optionen Router muss nicht alle Erweiterungspaketköpfe bearbeiten Aufgaben der Erweiterungspaketköpfe beispielsweise Sicherheitsüberprüfung Segmentierung Source Routing Netzmanagement Beispiele für Erweiterungspaketköpfe IPv6-Header NH IPv6-Header NH TCP-Header +Daten Routing Header NH TCP-Header +Daten Routing Fragment IPv6-Header Header Header NH NH NH NH = Next Header TCP-Header +Daten Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 275 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 276 4

5 ICMPv6 ICMPv6 ersetzt die Protokolle ICMP(v4), IGMP(v4) und ARP(v4) ICMPv6 wird über IPv6 transportiert Wert des Next Header -Felds: 58 Liefert so viel wie möglich vom betroffenen Paket zurück, ohne die minimale MTU von 576 byte zu überschreiten Arbeitet wie TCP und UDP mit einem Pseudo-Header: Type Code Checksum Depending on Type Additional Data depending on Type IPv6: Segmentierung Nur der Sender kann Segmentieren Ist das Paket zu groß, senden die Router eine ICMPv6-Nachricht packet too big Feststellen der maximalen Paketgröße (Maximum Transfer Unit MTU) mittels Angabe im ICMPv6-Paket: MTU= 1500 SYN; MSS=1440 Data; 1440 byte ICMPv6 error Packet too big MTU=576 R1 MTU= 576 R2 MTU= 1500 SYN; ACK MSS=1440 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 277 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 278 IPv6: Unterstützung mobiler Knoten Mobile Rechner sind ohne Umkonfiguration ihrer IP-Rechner nicht in einem Fremdnetz betreibbar Durch Autokonfiguration bekommen Rechner eine neue gültige IP-Adresse Damit sie erreichbar bleiben, bleibt die alte IP-Adresse weiterhin gültig Spezielle Architektur für das Weiterleiten von IP-Nachrichten notwendig Spezielles Kapitel zu Internet und Mobilität Heimatnetz? Fremdnetz Neue, gültige und alte IP-Adresse Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 279 IPv6: automatische Adresskonfiguration Plug & Play Beschaffung der eigenen IP-Adresse Entdeckung doppelter IP-Adressen Adressauflösung Bestimmung von ortsabhängigen Parametern (Subnetz-ID, MTU, DNS-Server,...) Entdeckung von Routern Unterstützung mobiler Endgeräte Prinzip der Nachbarschaftserkennung (Neighbour Discovery) Spezielle ICMP-Nachrichten: Router Solicitation / Advertisement Neighbour Solicitation / Advertisment Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 280 5

6 Allgemeine Sicherheitsziele Merkformel für Sicherheitsziele: CIA Vertraulichkeit (Confidentiality) Geheimhaltung der Daten Integrität (Integrity) Unversehrtheit der Daten Authentizität (Authenticity) Gesicherte Datenherkunft Zusätzliches wichtiges Ziel: Verbindlichkeit (Non-Repudiability) Nichtabstreitbarkeit der Datenherkunft wichtig z.b. bei Verträgen Einfaches Modell der Datenübertragung Alice Passiver Angreifer Aktiver Angreifer Bob Passiver Angreifer: kann nur abhören, nicht manipulieren Bedrohung für Vertraulichkeit Aktiver Angreifer: kann abhören, ändern, löschen, duplizieren Bedrohung für Vertraulichkeit, Integrität, Authentizität Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 281 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 282 Bedrohungen Abhören übertragener Daten Modifizieren übertragener Daten Ändern, Löschen, Einfügen, Umsortieren von Datenblöcken Maskerade Vorspiegeln einer fremden Identität Versenden von Nachrichten mit falscher Quelladresse Unerlaubter Zugriff auf Systeme Stichwort Hacking Sabotage (Denial of Service) gezieltes Herbeiführen einer Überlastsituation Abschießen von Protokollinstanzen durch illegale Pakete Angriffstechniken Anzapfen von Leitungen oder Funkstrecken Zwischenschalten (man-in-the-middle attack) Wiedereinspielen abgefangener Nachrichten (replay attack) (z.b. von Login-Nachrichten zwecks unerlaubtem Zugriff) gezieltes Verändern/Vertauschen von Bits oder Bitfolgen (ohne die Nachricht selbst entschlüsseln zu können) Brechen kryptographischer Algorithmen Gegenmaßnahmen: keine selbstgestrickten Algorithmen verwenden, nur bewährte und als sicher geltende Algorithmen! auf ausreichende Schlüssellänge achten Möglichkeiten zum Auswechseln von Algorithmen vorsehen Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 283 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 284 6

7 Sicherheitsdienste Überwiegend mit kryptographischen Mechanismen: Authentisierung von Datenpaketen (data origin authentication) von Systemen/Benutzern (entity authentication) Integritätssicherung (integrity protection) häufig kombiniert mit Daten-Authentisierung Verschlüsselung (encryption) Schlüsselaustausch (key exchange) Ohne kryptographische Mechanismen: Zugriffskontrolle (access control) Einbruchserkennung (intrusion detection; hier nicht behandelt) Symmetrische Kryptographie Instanzen besitzen gemeinsamen geheimen Schlüssel. Vorteile: geringer Rechenaufwand kurze Schlüssel Nachteile: Schlüsselaustausch schwierig keine Verbindlichkeit Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 285 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 286 Asymmetrische Kryptographie Engl. Public-Key-Kryptographie Schlüsselpaar aus privatem und öffentlichem Schlüssel Vorteile: öffentliche Schlüssel sind relativ leicht verteilbar Verbindlichkeit möglich Nachteile: hoher Rechenaufwand längere Schlüssel Hybride Systeme In der Praxis: Hybride Systeme Zunächst: Benutzer-Authentisierung und Austausch eines Sitzungsschlüssels (symmetrisch oder Public-Key) Danach: Authentisierung/Verschlüsselung der Nutzdaten mit Sitzungsschlüssel (symmetrisch) Bei langen Sitzungen sollte Sitzungsschlüssel gelegentlich ausgewechselt werden (z.b. stündlich) Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 287 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 288 7

8 IPv6: Sicherheitsvorkehrungen IPsec Sicherheit auch auf IP-Ebene Verschlüsselung Authentifizierung Realisierung durch spezielle Erweiterungspaketköpfe Authentication Header Überprüfung der Datenintegrität Überprüfung der Senderidentität Security Encapsulation Header Vertraulichkeit Integrität und Authentizität IPv6 und Multimedia IPv6 ist für Multimediaströme vorbereitet Flow Label Pakete mit gleichem Ziel bekommen identisches Label und können so gleichbehandelt werden Priorität Einstufung der Pakete nach Dringlichkeit Grobe Unterscheidung Non real time Real time Spezielle Mechanismen in den Routern notwendig Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 289 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 290 Migration hin zu IPv6 Zurzeit kommunizieren die Rechner im Internet vorwiegend über IPv4 Wie migriert man Millionen von Rechnern hin zu IPv6? Alle Rechner mit einem Schlag umstellen nicht möglich Langsame, schrittweise Migration auf IPv6 mit zeitweise Co-Existenz beider Standards Verfahren Tunneling Dual Stack Protokolltranslation IPv6 IPv4 je nach Verbreitungsgrad optimal Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 291 t IPv6-Paket Migrationsverfahren: Tunneling IPv6-Pakete werden in speziellen Routern in IPv4- Pakete eingekapselt und wieder ausgepackt. Kommunikation nur zwischen solchen Tunnelendpunkten möglich Andere Router bemerken nichts von IPv6 Automatisch (Zuweisung von IPv4-kompatiblen Adressen) oder konfigurierbar (fest konfigurierte Adressen für Tunnelendpunkte) IPv6- R1 IPv4- R1 IPv4- R2 IPv4- R3 IPv6- R2 IPv6-Paket Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 292 8

9 Migrationsverfahren: Dual Stack Sowohl Endknoten als auch Router verfügen über zwei Protokollstacks: IPv4 und IPv6 Der DNS-Rückgabewert entscheidet, welcher Stack verwendet wird DNS muss also auch beide Protokolle unterstützen IPv4-Adressen können so eingespart werden Anwendungen Socket-Schnittstelle UDP für IPv4 TCP für IPv4 UDP für IPv6 TCP für IPv6 IPv4 etc. Netzschnittstelle IPv6 etc. Migrationsverfahren: Protokolltranslation Übersetzung von IPv4-Pakete in IPv6- Pakete Anwendungsschicht muss davon unabhängig bleiben Beispiele Stateless IP/ICMP Translator (SIIT) Network Address Translation Protocol Translation (NAT-PT) Socket-based IPv4/IPv6 Gateway Bump In The Stack (BIS) Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 293 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 294 IPv6 in der Praxis Betriebssysteme sind in der Regel IPv6-tauglich Sehr viele Produkte unterstützen im Grunde genommen den neuen IP-Standard Aber In der Regel wird IPv4 verwendet (Investitionsschutz) Ergänzungen zur IPv4-Welt ermöglichen weiterhin den Einsatz der alten Technik Anwendungen benötigen (noch) nicht die speziellen Eigenschaften von IPv6 IPv6 kommt immer noch nur in speziellen Forschungsnetzen zum Einsatz 6bone als IPv6-Backbone Internet2 als Entwicklungsplattform Das 6Bone Weltweites IPv6-Testnetzwerk Migrationsforschung Verbindung der IPv6-Hauptknoten über konfigurierte IPv4-Tunnel Gemäß RFC 3701 ging der vom 6Bone genutzte Adresspräfix am 6. Juni 2006 (06/06/06) zurück an die IANA, womit der Betrieb des 6bone offiziell beendet ist. Die Internet-Protokollwelt - 9. Das Internet der neuen Generation Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 296 9

10 6Bone in Europa Internet 2 Das Internet 2 ( ist ein Konsortium, in dem 180 Universitäten organisiert sind, die mit Industrie und Regierung zusammenarbeiten, um neue Netzanwendungen und technologien zu entwickeln und zu realisieren. Die Arbeit wird in so genannten Working Groups durchgeführt: Engineering (IPv6, Multicast, QoS, Routing, Sicherheit...) Middleware (PKI, VidMid, MACE (Middleware Architecture Committee for Education)...) Anwendungen (Arts & Humanities, Digital Video, Health Sciences, Veterinary Medical, Voice over IP...) Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 297 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation Internet2 Universities Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 299 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation

11 Download of The Matrix DVD (Comparison of the Internet2 Land Speed Record) Abilene Network Logical Map Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 301 November 2003 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 302 Aktueller Status des Abilene-Netzes Literatur BRAUN, T.: IPnG Neue Internet-Dienste und virtuelle Netze: Protokolle, Programmierung und Internetworking. Heidelberg : dpunkt- Verlag, ISBN EFFELSBERG, W.: Vorlesung Rechnernetze. Sommersemester GROSSMANN, H.P.: Vorlesung Kommunikationsnetze Historische Entwicklung des Internet. Sommersemester Internet 2 Information Kit NAU, T.: Vorlesung Computer Networks IPv6. Wintersemester 2001/02. NIEMANN, M.: Vorlesung Rechnernetze IPng / IPv6. Sommersemester ZITTERBART, M.: Vorlesung Next Generation Internet. Sommersemester Die Internet-Protokollwelt - 9. Das Internet der neuen Generation 303 Die Internet-Protokollwelt - 9. Das Internet der neuen Generation

12 RFCs S. Bradner and A. Mankin, IP: Next Generation (IPng) White Paper Solicitation, Request for Comments 1550, Internet Engineering Task Force, R. Callon and D. Haskin, Routing Aspects of IPv6 Transition, Request for Comments 2185, Internet Engineering Task Force, A. Conta, S. Deering, and M. Gupta, Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6) Specification, Request for Comments 4443, Internet Engineering Task Force, S. Deering and R. Hinden, Internet Protocol, Version 6 (IPv6) Specification, Request for Comments 2460, Internet Engineering Task Force, T. Narten, E. Nordmark, W. Simpson et al., Neighbor Discovery for IP version 6 (IPv6), Request for Comments 4861, Internet Engineering Task Force, E. Nordmark and R. Gilligan, Basic Transition Mechanisms for IPv6 Hosts and Routers, Request for Comments 4213, Internet Engineering Task Force, S. Thomson, T. Narten, and T. Jinmei, IPv6 Stateless Address Autoconfiguration, Request for Comments 4862, Internet Engineering Task Force, Die Internet-Protokollwelt - 9. Das Internet der neuen Generation