Sicherheit im Internet. Aufbau und Funktion des IP Version 6

Transkript

1 ruhr-universität bochum Lehrstuhl für Datenverarbeitung Prof. Dr.-Ing. Dr.E.h. Wolfgang Weber Sicherheit im Internet Aufbau und Funktion des IP Version 6 Seminar Datenverarbeitung SS 1998 Referent: cand.-ing. André Ehlert Betreuer: Dipl.-Ing. Thomas Droste SEMINA R DATENVERA RBEITUNG SS 1998 URL:

2 Inhalt Inhalt 1 Einleitung Das Internet Protokoll im Schichtenmodell Funktion von IP Das Internet Protokoll IPv Der IPv4-Header Die Routing-Option Fragmentierung Das Adressenkonzept von IPv Die vier Adreßklassen Subnetzadressierung Broadcast Multicast Das Internet Protokoll IPv Warum IPv Der IPv6-Header Gegenüberstellung von IPv4 und IPv Optionale Header und ihre Funktion Fragmentierung Source-Routing Jumbo-Payload-Option Das Adressenkonzept von IPv Anbieter-basierte Unicast-Adresse Link-lokale und Standort-lokale Adressen Multicast Adressen Literatur

3 Kapitel 1 Einleitung 1 Einleitung 1.1 Das Internet Protokoll im Schichtenmodell Das Internet Protokoll (IP), welches auch oft im Zusammenhang mit dem TCP 1 in Verbindung gebracht wird, ist das verbreitetste Protokoll auf der Welt. Das IP ist verantwortlich um Datenpakete von einem Sender über mehrere Netze hinweg zu einem Empfänger zu transportieren. Jeder Teilnehmer, der über das Internet mit einem weiteren Teilnehmer kommunizieren möchte, muß dieses Protokoll implementiert haben. Daten Anwendung Daten empfangen Daten senden IP Header TCP Header TCP Header Daten Daten Transport Netzwerk Ethernet Header IP Header TCP Header Daten Physikalisch Bild 1: Das Schichtenmodell Das IP liegt im Schichtenmodell der Netzwerkschicht zugrunde. Beim Ablauf einer Kommunikation zwischen Sender und Empfänger wird vom Sender das zu übertragende Datenpaket erzeugt. Hierbei werden die eigentlichen Nutzdaten von der höheren Anwendunugsschicht an die unteren Schichten übergeben, wobei jede Schicht einen protokollspezifischen Header hinzufügt. Die Header der oberen Schichten werden von den unteren Schichten als Nutzdaten interpretiert. Auf der physikalischen Schicht wird der letzte Header hinzugefügt, bevor das Datenpaket die sendende Station verläßt und zum Empfänger delegiert wird. Dort angekommen, findet der gleiche Prozeß, nur in anderer Reihenfolge, statt. Jede Schicht wertet den zugeordneten Header aus, beseitigt ihn, und gibt das Datenpaket an die höhere Schicht weiter. Jede Protokollschicht des Senders kommuniziert mit der gleichen Protokollschicht des Empfängers. Daher müssen zwei Stationen, die miteinander kommunizieren wollen, 1 TCP-Transmission Control Protocol 2

4 Kapitel 1 Einleitung über den gleichen Protokoll-Stack verfügen. Die Protokolle der einzelnen Schichten sind austauschbar. So ist es z.b. nicht zwingend notwendig, daß auf der Transport- Schicht das TCP implementiert sein muß. Beide Teilnehmer können auch z.b. UDP 1 als Tranport-Protokoll verwenden. 1.2 Funktion von IP Ein Datenpaket durchläuft bei der Übertragung vom Sender bis hin zum Empfänger eine Anzahl von Netzknoten (Router), welche nur die mitgelieferten IP-Informationen auswerten und, anhand von Routing-Algorithmen, über die Weiterleitung der Pakete entscheiden. Routing stellt daher die wichtigste Funktion der IP-Schicht dar. Die hierfür benötigten Informationen werden durch den IP-Header zu den eigentlichen Nuztdaten mitgeliefert. Um Sender und Empfänger eindeutig adressieren zu können, verwendet IPv4 32-Bit- Adressen, die in 4 Oktetts angegeben werden. Diese Internetadressen werden von der InterNIC 2 weltweit eindeutig vergeben. Ein Teil dieser Adressen spezifiziert das Netzwerk, der Rest die Rechenadresse innerhalb eines Netzes. Die Grenze zwischen Netzwerkanteil und Host-Anteil an der Gesamtadresse ist fließend und hängt maßgeblich von der Größe des Netzwerks ab. Ist ein lokales Netzwerk nicht mit dem Internet verbunden, so können die IP-Adressen frei vergeben werden. Sobald jedoch ein direkter Anschluß zum Internet besteht, muß eine offizielle IP-Adressen beantragt und verwendet werden. Nur so kann gewährleistet werden, daß eine Einbindung des lokalen Netzwerk an das Internet keine Adressenkonflikte zur Folge hat. IPv4 wird als verbindungsloses Protokoll bezeichnet, da der Empfang eines Paketes nicht vom Empfänger bestätigt wird, was auch als nicht zuverlässige Übertragung bezeichnet wird. Diese Aufgabe kann jedoch von den höheren Schichten übernommen werden. 1 UDP-User Datagram Protocol 2 InterNIC-Internet Network Information Center 3

5 Kapitel 2 Das Internet Protokoll IPv4 2 Das Internet Protokoll IPv4 2.1 Der IPv4-Header Wie bereits in Kapitel 1.2 beschrieben sichert IPv4 die Paketübertragung vom Sender über mehrere Netzwerknoten bis hin zum Empfänger. Verläßt ein IP-Datagramm eine sendende Station, so hat diese, soweit keine Routing-Optionen eingestellt sind, keinen Einfluß auf die Wegsteuerung dieses Datagramms. Nur die mitgelieferten Informationen, die sich alle im IP-Header befinden, verhelfen den Routern das Paket zu dem Empfänger zu delegieren. Die Router spielen daher die Schlüsselrolle, indem sie die einzelnen Funktions- und Statusfelder des IP-Headers auswerten und die Pakete entsprechend zum nächsten Router, bis hin zur Empfängerstation weiterleiten. Die Verweildauer eines Paketes im Router hängt daher maßgeblich von der Anzahl der Funktionsfelder ab, die jeweils bearbeitet und ausgewertet werden müssen. Bei der Neuentwicklung von Protokollen ist es somit wichtig, die Anzahl der Felder so gering wie möglich zu halten. Das Internet Protokoll (IPv4) verfügt ohne optionale Erweiterung 12 Felder. Bei dem neuen Protokoll IPv6 wurden die 12 Felder auf nur 8 Felder reduziert, was eine erhebliche Beschleunigung der Datenübertragung mit sich führt. Die Header-Länge ist für einen erhöhten Datendurchsatz ebenfalls maßgeblich, fällt aber jedoch nicht so stark ins Gewicht, wie die Anzahl der Informationsfelder selbst. Von den 12 Feldern des IPv-4 Headers sind zwei Felder von ganz besonderer Bedeutung, die IP-Adresse des Senders und die IP-Adresse des Empfängers. Ihnen sind im Header, ihrer Größe entsprechend, jeweils 32 Bit reserviert. Bild 2 zeigt den Aufbau eines IPv4-Headers mit allen Funktionsfeldern. 4-Bit 4-Bit 8-Bit 16-Bit VERS LEN TOS Länge des Datagrammes Identifikator FLAG Offset des Fragments TTL Protokolltyp Prüfsumme des Headers IP-Adresse des Absenders 20 Byte IP-Adresse des Empfängers Optionen Bild 2: Aufbau des IPv4-Header 4

6 Kapitel 2 Das Internet Protokoll IPv4 VERSION Gibt die Version des Protokolls an. LEN = Header-Länge Gibt die Länge des IP-Headers in 32-Bit Worten an. Für dieses Feld sind 4 Bit reserviert, daraus folgt eine mögliche maximale Header-Länge von 15*4=60 Byte. TOS (Typ of Service) IPv4 bietet höheren Protokollen (z.b. Telnet, FTP) mit diesem Dienst die Möglichkeit, ihren generierten IP-Datagrammen eine mögliche Priorität hinsichtlich Durchsatz, Zuverlässigkeit oder Verzögerungen zu zuordnen, die von den entsprechenden Routern gesondert behandelt werden. Länge des Datagramms Gibt die Länge des gesamten Datagramms (Header + Nutzdaten) in Byte an. Da für dieses Feld 16 Bit vorgesehen ist, ergibt sich eine Gesamtlänge von maximal 2 16 =65535 Byte. Identifikator Jedes versendete Datagramm eines Datenstromes wird durch eine fortlaufende Nummer gekennzeichnet, damit der Empfänger die einzelnen Datagramme wieder den einzelnen Datentrömen zuordnen kann. Muß ein Datagramm aufgrund einer zu kleinen MTU 1 in mehrere Fragmente zerteilt werden, so erhält jedes Fragment die gleiche Nummer, so daß der Empfänger die einzelnen Fragmente wieder zu einem Datagramm reassemblieren kann. Die Felder Flags und Offset des Fragments spielen nur im Zusammenhang mit der Fragmentierung eine Rolle und werden sonst nicht benutzt. TTL (Time to live) Damit Pakete, die ihren Empfänger nicht erreichen, nicht unendlich lange in dem Netz herumirren, und dadurch das Netz unnötig belasten, wird eine maximale Anzahl von Hops 2 festgelegt, die von jedem Router dekrementiert wird. Ist die Anzahl der Hops auf 0 runter gezählt, wird das Paket verworfen, und der Sender erhält eine ICMP 3 -Nachricht. 1 MTU-Maximal Transfer Unit 2 HOP-Die Übergabe eines Datagramms, von Router zu Router, wird als Hop bezeichnet. 3 ICMP-Internet Control Mesage Protocol 5

7 Kapitel 2 Das Internet Protokoll IPv4 Protokolltyp Gib den Protokolltyp an, welcher das IP-Datagramm generiert hat (z.b. TCP,UDP). Ankommende Pakete werden schließlich nach einem Multiplexverfahren an die höheren Protokolle übergeben. Prüfsumme des Headers Die Prüfsumme des Headers wird durch einen Algorithmus ermittelt und in diesem Feld eingetragen. Hierdurch kann jeder Router und auch Empfänger überprüfen, ob Header-Informationen bei der Übertragung verloren gegangen sind. In diesem Fall wird das Paket vernichtet, und es wird dem Sender eine ICMP Nachricht zurück gesendet. IPv4 bietet weiterhin die Möglichkeit, den Header durch zusätzliche Optionen zu erweitern. Diese Optionen bieten eine Funktionalitäterweiterung von IPv4, wodurch jedoch die Gesamtlänge des Headers vergrößert und damit der Datendurchsatz verringert wird. Jede Option erweitert den Header um ein vielfaches von 32-Bit- Worte. Wo der optionale Teil des Headers endet und an welcher Stelle die Nutzdaten beginnen, wird durch den Eintrag der Header-Länge erkannt. Diese Feld gibt bei IPv4 darüber Auskunft, wie viele Byte dem Header zugeordnet sind und ab wann die Nutzdaten beginnen. Die wichtigste Option ist die Routing-Option, welche im folgenden Kapitel näher betrachtet wird. 2.2 Die Routing-Option Durch die Routing-Option kann der Sender die Wegsteurung seiner Datagramme ganz oder teilweise selbst bestimmen, indem er IP-Adressen der entsprechenden Router dem IP-Header (vgl. Bild 3) optional beifügt. Die Router können in diesem Fall über die Weiterleitung der Datagramme nicht mehr frei entscheiden und sind gezwungen diese, der Optionen entsprechend, weiterzuleiten. IPv4 unterstützt drei Routing- Optionen. Der Aufbau der Routing-Option bleibt immer gleich. Im folgenden wird nur auf das Source-Routing eingegangen, welches im Zusammenhang mit IPv6 ausführlicher erklärt wird (vgl. Kapitel 4.6). 6

8 Kapitel 2 Das Internet Protokoll IPv4 8-Bit 8-Bit 16-Bit Typ Länge Zeiger Routing-Daten Bild 3: Aufbau der Routing-Option Typ Die ersten 8 Bit geben den Typ der Routings-Option an. Länge Gibt die Gesamtlänge der Option in Byte an. Zeiger Zeigt auf die nächste IP-Adresse im Feld Routing-Daten. Routing-Daten Enthält die IP-Adressen der Router, über die das Datagramm geschickt werden soll. Erreicht ein Datagramm einen Router, dessen IP-Adresse als Empfängeradresse im IPv4-Header eingetragen ist, so fragt dieser den Zeiger ab, welche Router-Adresse als nächste Empfänger-Adresse in den Header einzutragen ist. Der Wert des Zeigers wird dabei um vier erhöht, der somit auf die nächste 32-Bit-Adresse zeigt. Das Datagramm wird anschließend an den nächsten Router weitergeleitet, bis es letztendlich seine Empfängerstation erreicht hat. Die Empfänger-Adresse steht somit als letzte Adresse im Feld Routing-Daten. 7

9 Kapitel 2 Das Internet Protokoll IPv4 2.3 Fragmentierung Die Fragmentierung von Datagrammen ist eine weitere wichtige Funktion von IPv4. Daten werden als zusammenhängende Blöcke übertragen, wobei die maximal zulässige Blockgröße von der jeweils genutzten Übertrangungstechnologie abhängt. Die maximale Einheit, die ein Netzwerk übertragen kann, wird als Maximum Transfer Unit (MTU) bezeichnet. Soll ein größeres Datenpaket ein Netzwerk mit kleinerer MTU passieren, so muß es in kleinere Pakete aufgeteilt werden. Diesen Prozeß nennt man Fragmentierung, wobei ein Datagramm in mehrere Fragmente aufgeteilt wird. Hierbei werden die Nutzdaten in kleinere Blöcke aufgegliedert und der IP-Header des Datagramms zu den einzelnen Fragmenten hinzu kopiert. Die Headerinformationen bleiben dabei größtenteils identisch. Lediglich einige Änderungen hinsichtlich der Header-Länge, Prüfsumme und die Funktionsfelder der Fragmentierung müssen berücksichtigt werden, da diese, den neu gebildeten Fragmenten entsprechend neu ausgewertet werden müssen. Jedes dieser Fragmente wird im weiteren von jedem Router wie ein eigenständiges Datagramm behandelt und zum Empfänger weitergeleitet. Die Reihenfolge der ankommenden Fragmente ist dabei beliebig. Sie werden beim Empfänger erst in einem Puffer zwischengespeichert bis das letzte Fragment eingetroffen ist. Erst jetzt werden die Fragmente zu dem ursprünglichen Datagramm zusammengesetzt. Sollte ein oder mehrere Fragmente nicht ihr Ziel erreichen, so wartet der Empfängers eine fest vorgegebene Zeit ab, bis er schließlich dem Sender eine Fehlernachricht zusendet und alle erhaltende Fragmente vernichtet. Alle Fragmente mit der gleichen Sende- und Empfängeradresse, sowie der gleichen Identifikationsnummer gehören zu einem Datagramm. Da jedes Fragment von den Routern wie ein Datagramm behandelt wird, ist auch eine weitere Assemblierung der Fragmente möglich. Die Fragmentierung stellt eine erhebliche Belastung der Router dar. 8

10 Kapitel 3 Das Adressenkonzept von IPv4 3 Das Adressenkonzept von IPv4 3.1 Die vier Adreßklassen Damit jeder Teilnehmer im Internet eindeutig identifiziert werden kann, werden von einer zentralen Behörde, dem InterNIC, weltweit 32-Bit Adressen vergeben. So wird vermieden, daß zwei oder mehrere Teilnehmer die gleiche Adresse benutzen und somit Adressierungsprobleme auftreten. Netzwerke die nicht an das Internet angebunden sind, können frei über IP-Adressen verfügen, d.h. es müssen keine offiziell beantragt werden. Von der Behörde werden allerdings nicht einzelne IP-Adressen vergeben, sondern nur komplette Adressklassen (vgl. Bild 4). Hierbei werden die IP-Adressen in eine Netzwerkadresse und einer Host-Adresse unterteilt. Die höherwertigen Bit adressieren ein Netzwerk, während die niederwertigen Bit einen Host adressieren. Bei der Betrachtung einer Klasse-B-Adresse z.b stellt die Netzwerkadresse dar und 40.5 die Adresse eines im Netzwerk befindlichen Hosts. Abhängig von der Größe eines Netzwerkes werden von der InterNIC entsprechende Klasse vergeben. Die Netzwerkadresse ist hierbei stets fest definiert. Der Administrator eines Netzwerkes kann jedoch über die Host-IDs frei verfügen und nach seinem Belieben den einzelnen Hosts zuteilen. Eine Aufteilung der IP-Adresse ist deshalb sinnvoll, um eine Anzahl von Hosts einer Gruppe zuordnen zu können. Hierarchisch höher geordnete Router entscheiden allein an der Netzwerkadresse wohin ein Paket geleitet werden soll. Erst wenn ein Paket am End-Router des entsprechenden Netzwerkes angelangt ist, wird die Host-Adresse ausgewertet und an die Endstation übergeben. Neben der numerischen Darstellung einer IP-Adresse gibt es auch eine symbolische Darstellung wie z.b. Diese Darstellungsform ist für den Anwender leichter zu merken und gibt zudem, durch seinen strukturierten Aufbau, Auskunft über Ort und Art eines Servers an. Werden symbolische Adresse verwendet (wie es im WWW gebräuchlich ist), so müssen diese, bevor überhaupt eine Verbindung mit einem Server aufgebaut wird, von einem DNS 1 in die entsprechende IP-Nummer transformiert werden. Im folgenden werden die einzelnen Adreß-Klassen nach Bild 4 betrachtet. 1 DNS-Domain Name System 9

11 Kapitel 3 Das Adressenkonzept von IPv4 7 Bit 24 Bit Klasse A 0 Netz-ID Host-ID 14 Bit 16 Bit Klasse B 1 0 Netz-ID Host-ID 21 Bit 8 Bit Klasse C Netz-ID Host-ID 28 Bit Klasse D ID für Multicast Bild 4: Die 4 Adreßklassen von IPv4 Klasse A Ist das erste Bit einer Adresse mit 0 belegt, so handelt es sich um eine IP-Adresse aus der Klasse-A. Hier werden 7 Bit für die Netzwerkadresse und weitere 24 Bit für die Host-Adresse reserviert. Dieser Typ wird von der InterNIC am seltensten vergeben. Grund hierfür ist die unglaublich hohe Anzahl der Host-Adressen, die mit dieser Klasse identifiziert werden können. Mit 2 24 = möglichen Host- IDs werden diese Adressen nur an besonders privilegierten große Anwender vergeben, da ohnehin nur 2 7-1=127 Adressen dieses Typs existieren. Der Adreßraum erstreckt sich von bis Klasse B Adressen der Klasse B werden durch die beiden höchstwertigen Bit 10 identifiziert. 14 Bits sind dem Netz-ID, weitere 16 Bits dem Host-ID zugeordnet. Dadurch sind theoretisch 2 14 =16384 Netzwerke adressierbar und pro Netzwerk 2 16 =65536 Hosts ansprechbar. Durch die beiden höchstwertigen Bits bedingt, erstreckt sich dieser Adreßbereich von bis Klasse C Identifiziert wird diese Klasse durch die 3 höchstwertigsten Bits 110. Die 21 Bit lange Netz-ID erlaubt 2 21 = verschiedene Netzwerke zu identifizieren, denen jeweils 2 8 =256 Host-IDs zugeordnet werden können. Diese Klasse wird daher am häufigsten vergeben und richtet sich an besonders kleine Anbieter. Der mögliche Adreßraum erstreckt sich von bis

12 Kapitel 3 Das Adressenkonzept von IPv4 Klasse D Diese Adreßklasse stellt eine Besonderheit da und ist ausschließlich für Multicastgruppen vorgesehen. Der 28-Bit-lange Identifikator der Multicastgruppe erlaubt 2 28 = Gruppen. Diese Klasse wird durch die höchstwertigen 4 Bit 1110 identifiziert. Der Adreßbereich liegt dementsprechend zwischen und Streng genommen gibt es noch eine weitere Klasse, die auch als E Klasse bezeichnet wird. Diese Klasse soll für die Zukunft reserviert bleiben und ist nicht weiter spezifiziert worden. 3.2 Subnetzadressierung Wie bereits im Kapitel 1.2 angedeutet, kann der Administrator eines Netzwerkes frei über den Host-ID verfügen. Es besteht somit die Möglichkeit, den Hostanteil einer IP- Adresse weiter in einen Subnet-ID und einen kleineren Host-ID aufzuteilen. In welchem sinnvollen Verhältnis er diese Aufteilung durchführt, hängt von der Architektur des Netzwerks ab. Ein gesamtes Netzwerk kann so in mehrere kleine echten Subnetze unterteilt werden, welche durch Router miteinander verbunden sind. Diese Subnetze können verschiedene Abteilungen im Unternehmen zugeteilt werden, die separate LANs repräsentieren. Die Aufteilung eines Netzes in mehrere Subnetze bringt vielerlei Vorteile hinsichtlich Sicherheit, Lastverteilung, Durchsatz und Gruppenkommunikation mit sich. Ein Beispiel soll die Vorgehensweise erläutern: Ein Administrator erhält für sein Netzwerk vom InterNIC eine Adresse der Klasse C z.b X. Mit dieser Adresse lassen sich ohne weitere Aufteilung des Host-ID zunächst 256 Hosts identifizieren. Der Administrator sieht aber vor, sein Netzwerk in drei kleinere Subnetze zu unterteilen. Hierzu teilt er den Host-ID in einen Subnet-ID und einem kleineren Host-ID auf. Um drei Subnetze codieren zu können, benötigt er drei Bit. Zwei Bit würden zwar für die Codierung theoretisch ausreichen, es muß jedoch berücksichtigt werden, daß Adressen mit fortlaufenden Einsen und Nullen an Spezialadressen (z.b. Broacast) vergeben sind. Mit den drei Bit lassen sich daher nur 2 3-2=6 Subnetze bilden. Mit den restlichen 5 Bits des Host-ID sind noch 2 5-2=30 Hosts im jeweiligen Subnetz adressieren. Bild 5 veranschaulicht die Aufteilung des Host-ID in Subnetze. Um die einzelnen Subnetze auch als solche identifizieren zu können, muß der Administrator dem lokalen Anwender die sogenannte Subnetzmaske mitteilen. Diese Subnetzmaske wird von den Routern des Netzes genutzt, um sie mit der klassischen IP-Adresse eines Host boolisch 11

13 Kapitel 3 Das Adressenkonzept von IPv4 zu multiplizieren und dadurch den internen Subnetz-ID und den neuen Host-ID zu ermitteln. In unserem Beispiel hat die Subnetzmaske die folgende Adresse Ein Host eines Subnetzes könnte z.b. die IP-Adresse besitzen. Die Zahl 209 ergibt in seiner binären Darstellung , die IP-Adresse in binären Form lautet daher: Mit der Subnetzmaske boolisch multipliziert ergebe sich so: Durch die Multiplikation mit der Subnetzmaske fällt gerade der Anteil für den Host-ID weg. Das Ergebnis liefert den Subnetz-ID: Der Host-ID ist , also Durch diese Operation läßt sich aus jeder beliebigen IP-Adresse eindeutig den Subnetz-ID und den Host-ID ermitteln. Jedes weitere Subnetz ist wiederum in kleinere Subnetze unterteilbar, insofern die Größe des Host-ID eine weitere sinnvolle Aufteilung erlaubt. IP-Adresse : X Netz-ID 24 Bit Host-ID 3 Bit 5 Bit Subnet ID Host ID Bild 5: Aufteilung eines Host-ID in Subnetze 3.3 Broadcast Bisher ist davon ausgegangen worden, daß jeweils nur zwei Teilnehmer in einem Netzwerk miteinander kommunizieren, auch als Unicast bezeichnet. Beim Broadcast dagegen sendet ein Teilnehmer eine Nachricht gleichzeitig an alle anderen Teilnehmer eines zugehörigen Netzes. Da TCP ein verbindungsorientiertes Protokoll ist, welches einen Verbindungsaufbau, Datenübertragung und Verbindunsabbau fordert, ist es für 12

14 Kapitel 3 Das Adressenkonzept von IPv4 Broadcasting nicht einsetzbar. Das UDP hingegen, als verbingungsloses Protokoll, ermöglicht dieses einfache Prinzip der Gruppenkommunikation. Die Funktionsweise von Broadcasting muß auf den einzelnen Ebenen der Protokollhierarchie und den damit verbundenen Filtermöglichkeiten betrachtet werden. Bild 6 veranschaulicht diese Thematik: Ein Host entscheidet zunächst anhand der MAC 1 -Adresse ob ein gesendetes Paket für ihn bestimmt ist oder nicht. Stimmt die MAC-Empfängeradresse mit der eigenen überein, so werden die entsprechenden Headerinformationen ausgewertet, bevor das Paket an die nächst höhere Schicht übergeben wird. Stimmt die Bestimmungsadresse nicht mit der eigenen überein, so wird das Paket verworfen. Das IPv4 verfährt, wie alle anderen Protokollschichten auch, entsprechend. Allerdings werden anstatt der MAC-Adressen die IP-Adressen des Senders und Empfängers überprüft und damit über das Weiterleiten oder Vernichten des Datagramms entschieden. Stimmen auch hier die Senderadresse und die eigene Host-Adresse nicht überein, so wird das Paket verworfen. Bei Übereinstimmung und nach Auswertung der IP-Header-informationen wird es sonst an die höhere Schicht übergeben. Das UDP führt schließlich ein Multiplexing der IP-Datagramme an die verschiedenen Ports der Programme durch, d.h. UDP entscheidet anhand der Portnummer an welches höhere Protokoll das Datagramm weitergeleitet werden soll. Greift keine Anwendung auf die genannte Portnummer zu, so wird auch hier das Paket verworfen. deliver protocolstack UDP IP deliver discard discard deliver decice driver discard Bild 6: Filterungsmöglichkeiten der einzelnen Schichten des Portokoll-Stacks Wenn ein Host an alle anderen Hosts eines Netzes eine Nachricht schickt, so muß dieser eine MAC-Empfängeradresse benutzen, auf die alle Hosts hören. Diese 1 MAC-Media Access Control 13

15 Kapitel 3 Das Adressenkonzept von IPv4 Spezialadresse ist die Broadcast-Adresse auf MAC-Ebene. Sie ist dadurch gekennzeichnet, daß alle 48 Bits auf 1 gesetzt sind (FF:FF:FF:FF:FF:FF). Damit ist zunächst sichergestellt, daß jeder Host das Paket annimmt und an die IP-Schicht weiterleitet. Auf der IP-Ebene existiert ebenfalls eine Broadcast-Adresse, die dadurch gekennzeichnet ist, daß alle Bit des Host-ID der IP-Adresse auf 1 gesetzt sind. Jeder Host, dessen Netz-ID seiner IP-Adresse mit dem Netz-ID der Broadcast-Adresse übereinstimmt, leitet das Paket an die UDP-Schicht weiter. Bild 7 veranschaulicht in einem Beispiel das verschicken einer Broadcastnachricht an mehrere Empfänger. Hierzu trägt die sendende Station ihre eigene MAC- und IP- Adresse in den entsprechenden Header ein und fügt als Empfängeradresse die MAC- Adresse FF:FF:FF:FF:FF:FF und die dem Netzwerk zugehörige IP-Broadcast-Adresse hinzu. Jeder Host, der diesem C-Netz angehört, wird das Broadcastpaket bis zur UDP- Schicht weiterleiten. Erst an der Portnummer wird entschieden, ob das Paket verworfen wird oder an einen höheren Prozeß weitergeleitet wird. Der Nachteil von Broadcasting liegt darin, daß jeder Host erst auf UDP-Ebene erkennt, ob das Paket für ihn bestimmt ist oder nicht. Wenn z.b. in einem Netzwerk, bestehend aus 50 Hosts, 20 Hosts durch Broadcast miteinander kommunizieren wollen, so erhalten und bearbeiten die anderen 30 Hosts jeden eingehenden Broadcast umsonst. Die Idee von Multicast besteht darin, das unnötige Laden und Auswerten von Nachrichten, die nicht für die Empfängerstation gedacht sind, zu umgehen. Multicast identifiziert nur eine Gruppe von Hosts eines Netzes. Dest IP : 226:123:24:255 Src IP : 226:123:24:14 Dest MAC : ff:ff:ff:ff:ff:ff Scr MAC : ff:12:31:41:2:1f IP : 226: IP : 226: Empf. Empf. Sender Klasse C Netzwerk IP : 226:123:24:14 MAC : ff:12:31:41:2:1f Bild 7: Beispiel von Broadcast eines Netzes der Klasse C Der Möglichkeit entsprechend Netze in weitere Subnetze zu unterteilen werden verschiedene Broadcast-Adressen definiert: 14

16 Kapitel 3 Das Adressenkonzept von IPv4 Limited Broadcast Die Limited Broadcast-Adresse richtet sich an alle Hosts eines Netzwerkes. Ein Limited-Broadcast wird niemals über ein Router weitergeleitet. Net-directed Broadcast Bei dieser Adressierung sind nur die Bits des Host-ID auf 1 gesetzt, während der Netz-ID unverändert bleibt. Eine Net-directed Broadcast Adresse eines Klasse B Netzes hat demzufolge folgendes Aussehen: netz-id Ein Net-direct Broadcast wird immer vom Router weitergegeben. Subnet-directed Broadcast Bei einer Subnet-direct Broadcast Adresse sind alle Bit des Host-ID auf 1 gesetzt, der Subnet- und Netz-ID bleiben unverändert. Die Router müssen hierbei über die Subnetzmaske des Netzes informiert sein. Erreicht z.b. ein Paket mit der IP-Adresse einen Router eines Klasse B Netzes, so wäre diese Adresse nur dann ein Subnet-directed Broadcast wenn die Subnetzmaske lautet. Beträgt die Subnetzmaske hingegen , so ist das höchstwertigste Bit des Host-ID eine 0. Dies ist damit keine Broadcastadresse mehr. All-subnet-directed Broadcast Bei der all-subnet-directed Broadcast Adresse sind alle Bits des Subnetz-ID und des Host-ID auf 1 gesetzt. Um diese Adresse von einer net-directed Broadcast Adresse unterscheiden zu können, wird hier die Subnetzmaske des Bestimmungsortes ebenfalls benötigt. Die IP-Adresse eines Netzes der Klasse B bei einer Subnetzmaske mit ist eine all-subnet-directed Broadcast Adresse. Ohne Subnetzmaske würde es sich um eine net-directed Broadcast Adresse handeln. 3.4 Multicast Bei der Betrachtung der Mulicast-Adresse in Bild 4 wird deutlich, daß sie gegenüber den drei anderen Klassen (A,B,C) keine weitere Struktur aufweist. Es stehen somit 28 Bit zur Verfügung, um 2 28 = verschiedene Gruppen identifizieren zu können. Der Adressenbereich erstreckt sich von bis Alle Teilnehmer einer Gruppe hören auf eine Multicast-Adresse. Die Teilnehmerzahl ist dabei dynamisch. Jeder Host kann sich jeder Zeit an einer Gruppe anmelden oder 15

17 Kapitel 3 Das Adressenkonzept von IPv4 auch wieder abmelden. Einige Multicastadressen sind von der IANA 1 fest reserviert so z.b.: Alle Host eines Subnetzes Alle Routers im Subnetz reserviert für NTP 3 Um Multicast betreiben zu können, müssen die Interfaces der Hosts neben der eigenen MAC-Adresse und der MAC-Broadcastadresse (FF:FF:FF:FF:FF:FF) auf die MAC- Multicast Adressse hören. Für Ethernet werden die MAC-Multicast Adressen von der IANA 1 organisiert und besitzen einen Adressraum von 01:00:5E:00:00:00 bis 01:00:5E:7F:FF:FF. Der erste Block der Adresse ist für Ethernet immer stets 01:00:5e. Den zweiten Block wird dadurch gewonnen, indem die 23 niederwertigsten Bit der IP- Multicast Adresse übernommen werden und das 24ste Bit mit 0 belegt wird. Durch die Implementierung der niederwertigen 23 Bit statt den möglichen 28 Bits werden die Ethernet Adressen uneindeutig. Daher können verschiedene Multicast-Adressen die selbe Ethernet-Adresse bilden. So bilden z.b. die Adressen (E ) und (E0:00:40:29) die gleiche Ethernet Adresse 01:00:5E:00:40:20. Dieser Umstand erfordert eine weitere Filterung auf IP-Ebene, um Eindeutigkeit zu erhalten. Befinden sich alle Teilnehmer einer Gruppe in einem Netzwerk, so wird für die Kommunikation kein weiteres Protokoll benötigt. Laufende Prozesse müssen das IPv4 lediglich darüber benachrichtigen, welche Multicast Adressen verwendet werden, damit es geeignete Filterungen durchführen kann. Sind die Teilnehmer einer Gruppe über ein Netzwerk verteilt, so daß sie nur über Router erreichbar sind, wird für das Multicasting das IGMP 2 verwendet. 1 IANA-Internet Assigned Numbers Authority 3 NTP-Network Time Protocol 1 IANA-Internet Assigned Numbers Authority 2 IGMP-Internet Group Management Protocol 16

18 Kapitel 4 Das Internet Protokoll IPv6 4 Das Internet Protokoll IPv6 4.1 Warum IPv6 Das IPv4 hat sich im allgemeinen als ein gutes und zuverlässiges Protokoll bewährt. Zahlreiche Internetanwendungen bauen auf die Funktionalitäten von IPv4 auf. Dennoch sind im Laufe der Zeit neue Bedürfnisse nach einer besseren, strukturierten Kommunikation, sowie an eine erhöhte Sicherheit der Datenübertragung entstanden. Durch die immer größer werdende Adressenknappheit bei IPv4, bedingt durch die enorme Ausbreitung des Internets, ist es schließlich unumgänglich geworden, ein neues Protokoll zu schaffen, welches die Schwachstellen von IPv4 umgeht ist IPv6, von 21 vorgeschlagenen Protokollen, verabschiedet worden. Es hat die Grundfunktionen von IPv4 beibehalten, aber zukunftsichere Neuerung definiert. 4.2 Der IPv6-Header Der IPv6-Header weist durch neue Funktionalitäten einen anderen Aufbau auf, als von IPv4 her bekannt. Die Headerlänge ist von mindestens 20 Byte auf 40 Byte vergrößert worden, obwohl die Zahl der Funktionsfelder von 12 auf 8 minimiert worden ist. Dies liegt an dem neuen Adressierungskonzept von IPv6. Während IPv4 nur 32 Bit den Adressen zugeordnet hat, verfügt IPv6 über 128-Bit-Adressen. Bild 4.2 zeigt den schematischen Aufbau eines IPv6-Headers: 4-Bit 4-Bit 24-Bit Version Priorität Payload( Nutzlast -)Länge Flow-Label Nächster Header Hop Limit IP-Adresse des Absenders (16-Byte) IP-Adresse des Empfängers (16-Byte) Nutz -Daten Bild 8: Der IPv6-Header 17

19 Kapitel 4 Das Internet Protokoll IPv6 Version Die ersten vier Bit des Headers sind für die IP-Version reserviert. In diesem Fall steht in diesem Feld eine 6. Priorität Mit diesem Feld hat der Anwender die Möglichkeit seinem Datenstrom eine Priorität zu zuordnen, die in einem Router gesondert behandelt werden kann. Mit den vier möglichen Bit lassen sich 2 4 =16 Prioritäten zuordnen. Die Prioritäten 0 bis 7 sind für Anwendungen ohne Real-Zeit-Anforderungen reserviert. Typische Anwendungen sind z.b. News, oder FTP. Die Prioritäten 8 bis 15 sind für Anwendungen mit Real-Zeit-Anforderung vorgesehen, wie z.b. Live-Audio und Live-Video Übertragungen. Bei einem möglichen Datenstau werden die Datagramme mit höhere Priorität von einem Router bevorzugt behandelt und weitergeleitet, während Datagramme niedriger Priorität zu einem späteren Zeitpunkt gesendet werden. Flow Label Diese Feld identifiziert alle Datagramme, die einem Strom zugehörig sind. Hierzu wird eine Zufallszahl ermittelt, die dann bei allen Datagrammen eines Stromes gleich bleibt. Alle Datgramme eines Stromes haben demnach dieselbe Sender- und Empfänger-Adresse sowie Priorität und Flow-Label. Payload ( Nutzlast )Länge: Dieses Feld gibt die Länge der Nutzdaten in Byte an, die in einem Datagramm übertragen wird. Für dieses Feld sind 16 Bit reserviert, wodurch maximal =65535 Byte Nutzdaten übertragen werden können. Durch die Jumbo-Payload- Option läßt sich die Länge eines Datagramms jedoch erweitern. Nächster Header Bei IPv4 werden alle Optionen im Header integriert. Das Feld Protokolltyp verweist dabei auf das Protokoll, zu dem das IP-Datagramm übergeben werden soll (TCP oder UDP). Bei IPv6 steht jeder Option ein eigener Header zur Verfügung, welcher zu dem eigentlichen IPv6-Header zugefügt wird. Jeder dieser Header hat wiederum ein Feld Nächster Header. Es läßt sich somit eine beliebige Kette von Options-Header bilden. Lediglich der letzte Header besitzt einen Eintrag für die höhere Protokollebene. 18

20 Kapitel 4 Das Internet Protokoll IPv6 Hop Limit Dieses Feld gibt die Anzahl der zulässigen Hops an. Es ist demnach mit dem Feld TTL von IPv4 identisch. Die Einführung einer anderen Bezeichnungsweise hat folgenden Grund: Der Sender sollte die Lebensdauer eines Datagramms in Sekunden angeben, wobei jeder Router die zur Weiterleitung benötigte Zeit in Sekunden gemessen von dem eingetragenen Wert abziehen sollte. Dies ist jedoch von den Routern nie richtig eingehalten worden. Statt dessen ist der Wert mit jedem Hop um 1 verkleinert worden, wodurch die neue Bezeichnung Hop Limit entstand. 4.3 Gegenüberstellung von IPv4 und IPv6 Beim Vergleich zwischen dem IPv4 Header und dem IPv6 Header, lassen sich folgende Hauptunterschiede feststellen: 1. Die Felder Identifikator, Fragment Offset und Flags bei IPv4, welche in Verbindung mit der Fragmentierung von Datagrammen benutzt werden, sind bei IPv6 in einem neuen eigenen Fragment-Header integriert worden. 2. Das Feld Prüfsumme fehlt bei IPv6. Die Überprüfung der Headersumme, die von jedem IPv4 Router neu geprüft werden mußte, stellte einen zu hohen Zeitaufwand dar. Um den Datenfluß zu beschleunigen, ist bei IPv6 auf diese Funktion verzichtet worden, zumal höhere Protokolle diese Funktion übernehmen können. 3. Alle Optionen sind bei IPv6 als Erweiterungs-Header realisiert, wodurch der IPv6 Header stets dieselbe Länge von 40 Bytes aufweist. 4. Das Feld Protokolltyp ist bei IPv4 zu Nächster Header unbenannt worden. Während bei IPv4 als nächstes ein Header der höheren Protokollebene folgen mußte, können bei IPv6 verschiedene Options-Header folgen. 5. Die beiden Felder Header-Länge und Länge des Datagramms sind bei IPv6 auf ein Feld Payload-Länge minimiert worden. Da ein IPv6-Header stets die Länge von 40 Byte hat, werden keine Angaben mehr über die Headerlänge benötigt. Während Payload nur die Länge der Nutzdaten angibt, zählt IPv4 mit dem Feld Länge des Datagramms die Länge der Nutzdaten und des Headers. 19