Scaling IP Addresses. CCNA 4 version 3.0 Wolfgang Riggert,, FH Flensburg

Transkript

1 Scaling IP Addresses CCNA 4 version 3.0 Wolfgang Riggert,, FH Flensburg auf der Grundlage von Rick Graziani, Cabrillo College

2 Vorbemerkung Die englische Originalversion finden Sie unter : Der username ist cisco und das Password perlman Viele der Informationen ergänzen das Online-Curriculum Die Zusatzinformation ist zur Verdeutlichung und weiteren Erklärung der Themen eingefügt. Die Originalversion ist um eigene Folien erweitert, um das Verständnis zu fördern

3 Überblick Mechanismen zur Entschärfung des Problems der IP Adressknappheit Private IP-Adressen Network Address Translation und Port Address Translation Dynamic Host Configuration Protocol

4 Privater IP- Adressbereich Für jede IP-Adressklasse existiert ein gesonderter Adressbereich, der nicht geroutet wird

5 NAT Ein NAT-enabled Device arbeitet typischerweise an der Grenze eines Stub-Netzes.

6 NAT - Idee Austausch der Quell- und/oder Ziel-IP-Adresse im IP-Header (definiert in RFC 1631) Die Adressübersetzung findet nur vom inneren zum äußeren Interface oder umgekehrt statt niemals zwischen gleichen Interfacetypen inneres Netz inneres Interface äußeres Interface äußeres Netz NAT

7 NAT Begriffe Inside Local Addresses Eine IP-Adresse für einen Host innerhalb des internen Netzes. Üblicherweise handelt es sich hier um die privaten IP-Adressen. Inside Global Address Eine offizielle durch einen Service Provider zugeteilte IP-Adresse, die die internen Hosts nach außen repräsentiert Outside Local Address Die IP-Adresse eines externen Hosts, die im internen Netz bekannt ist Outside Global Address Die IP-Adresse eines externen Hosts, die durch den Nutzer dieses Hosts zugewiesen wurde.

8 NAT Merkmale Static NAT bildet 1:1 eine interne, lokale auf eine externe, globale Adresse ab Dynamic NAT bildet eine private IP-Adresse auf eine offizielle IP-Adresse ab.

9 Grundkonzept NAT innerer Host lokal äußerer Host innerer Host global äußerer Host gesendetes Paket vor NAT gesendetes Paket nach NAT Internet Internet Host innerer Host äußerer Host lokal innerer Host äußerer Host global zurückgekehrtes Paket nach NAT zurückgekehrtes Paket vor NAT

10 NAT- Übersetzungstabelle Private Adresse Externe Adresse NAT-Port

11 NAT Verfahren Internet Host Internet Host gesendetes Paket vor NAT gesendetes Paket nach NAT Internet Internet Host Internet Host Internet Host zurückgekehrtes Paket nach NAT zurückgekehrtes Paket vor NAT

12 Anwendung 1 Problem: Firmenübernahmen erzeugen gleiche private Adressräume Lösung: NAT liefert transparente, skalierbare und bidirektionale Verbindungen zwischen den Abteilungen Einkauf Einkauf Corporate gesendetes Paket vor NAT gesendetes Paket nach NAT Einkauf Corporate Corporate zurückgekehrtes Paket nach NAT zurückgekehrtes Paket vor NAT

13 Anwendung 2 Problem: Wechsel des Internet Service Providers Lösung: NAT vermeidet die Notwendigkeit der Vergabe neuer IP- Adressen an die Endstationen Internet Host Internet Host Lokales Netz gesendetes Paket vor NAT gesendetes Paket nach NAT Neuer ISP Internet Internet Host Internet Host zurückgekehrtes Paket nach NAT zurückgekehrtes Paket vor NAT

14 Anwendung 3 Problem: Internes Netz soll nicht für externe Nutzer sichtbar sein Lösung: NAT verbirgt die interne Netzinfrastruktur und verhindert Portscanning auf Subnetze Lokales Netz Internet Host Port Scanning Paket vor NAT Internet Internet Host

15 lokale/innere Umsetzung Internet Host Internet Host gesendetes Paket vor NAT gesendetes Paket nach NAT Internet äußerer Host Für Pakete ins Internet wird dynamisch eine Adresse aus einen NAT-Adresspool ausgewählt (z.b ) Der NAT-Adresseintrag wird auch zur Anpassung zurückkehrender Pakete genutzt.

16 Port-Mapped Nat Gängige NAT-Variante, die den gleichzeitigen Zugriff ermöglicht, d.h. ein interner Rechner kann auf mehrere externe Rechner zugreifen und umgekehrt können mehrere interne Rechner den gleichen externen Rechner adressieren Neben den Adressen werden TCP- oder UDP-Portnummern übersetzt Neben einem aus Quell- und bestehendem IP- Adresspaar enthält die Übersetzungstabelle ein aus Quell- und Zielport bestehendes Protokollportnummernpaar

17 PAT Merkmale PAT nutzt eindeutige Portnummern der Quelle der inside global IP address, um zwischen mehreren Verbindungen zu unterscheiden.

18 PAT- Übersetzungstabelle 1 Private Adresse Privater Port Externe Adresse Externer Port NAT-Port Benutztes Protokoll TCP TCP TCP TCP

19 PAT- Übersetzungstabelle 2 Zwei interne Hosts und greifen gleichzeitig über Port 80 und den externen Rechner zu die Unterscheidung findet durch die Quellports statt. Um Konflikte zu vermeiden, vergibt NAT ein eindeutige Portnummer für jede Kommunikation, die das Internet nutzt hier 140xx. TCP identifiziert jede Verbindung als 4er Tupel: ( , 23023, , 80) ( , 386, , 80)

20 Konzept PAT 1 Kommunikation zwischen einem internen und einem externen Rechner Internet Host Host 2 Quellport 1506 Zielport Any Port Zielport 1506 Quellport Any Port gesendetes Paket vor PAT zurückkehrendes Paket nach PAT Host 2

21 Konzept PAT Quellport 2031 Host 1 Zielport Any Port Quellport 2031 Host 1 Zielport Any Port Host 1 gesendetes Paket vor PAT gesendetes Paket nach PAT Internet Port 2031 Port Quellport 1506 Host 2 Zielport Any Port Quellport 1506 Host 2 Zielport Any Port gesendetes Paket vor PAT gesendetes Paket nach PAT Host 2

22 PAT Beispiel 1 Quelle: Bintec

23 PAT Beispiel 2 Für den Ablauf einer Anfrage eines Clients, ergeben sich folgende Phasen: Der Client startet den Internet Explorer, welcher zunächst die Homepage von Microsoft aus dem Internet laden möchte. Da er die IP- Adresse von nicht kennt, wendet er sich zunächst an seinen Nameserver, der in unserem Beispiel die Adresse haben soll. Die Anfrage wird formuliert und ein IP-Paket mit einer UDP Anfrage auf Port 53 für den DNS-Server versendet. Das Paket hat, wie jedes IP-Paket, eine Absender-IP-Adresse ( ) und eine Empfänger-IP-Adresse ( ), außerdem einen Absende- Port (1025) und einen Empfäger-Port (53). Der Absende-Port stammt aus dem Bereich der Client-Ports. Auf diesem Port wartet der Client im weiteren Verlauf auf seine Antwort. Die Angaben zu den Ports stehen im UDP-Header. Kurzgefaßt kann man die Adressierung des Pakets so formulieren: :1025 -> :53

24 PAT Beispiel 3 Jetzt muss der Client entscheiden, wohin mit dem Paket. Ein Blick in seine Routingtabelle zeigt ihm: Keine Netzwerkroute vorhanden Der Client sendet das Paket also an den Router (konkret im Ethernet: von seiner MAC-Adresse an die der BRICK). Das Paket kommt am Router an und prüft seine Routingtabelle, um zu entscheiden, wohin mit dem Paket. Wiederum findet er neben seinem eigenen Netz keine weitere Netzwerkroute und entscheidet sich daher für seinen "default" Eintrag in der Routingtabelle, welcher auf den Provider verweist. Da NAT für den Provider aktiviert ist, wird im folgenden die Absender-IP- Adresse des Pakets gegen die offizielle IP-Adresse des ISDN-Interfaces ( ) ausgetauscht. Damit kann das Paket im Internet transportiert werden, denn nun wird es von einer offiziellen IP ( ) zu einer anderen ( ) transportiert. Kurz formuliert: :1025 -> :53

25 PAT Beispiel 4 Das reicht aber noch nicht aus! Denn angenommen der Client surft gleichzeitig los und nutzt ebenfalls seine Client-Port 1025 ergibt sich folgendes Paket: :1025 -> :53 und nach der Ersetzung durch NAT auf dem Router: :1025 -> :53 Dadurch würde der Router zwei Antworten vom DNS erhalten die an die IP- Adresse mit dem Port 1025 gerichtet sind und wüsste nicht, welchem Client im internen Netz welche Antwort zuzustellen ist. Die Adressierung der Pakete ist identisch, sie können jedoch ganz unterschiedliche Inhalte haben! Daher wird auf dem Router nicht nur die Absende-IP-Adresse ausgetauscht, sondern auch der Absende-Port. Der Router verwendet dafür Port-Adressen aus dem "high-range" Bereich (über )

26 PAT Beispiel 5 Aus den DNS Anfrage :1025 -> :53 wird damit: : > :53 und aus der Anfrage :1025 -> :53 wird damit: : > :53 Die Anfragen kommen am DNS an, der die Antworten nunmehr an die Absender zurücksendet: :53 -> :33385 und :53 -> :33386 Die Antwortpakete kommen an der BRICK an, die nun in einer internen Tabelle nachschaut, welcher interne Client auf welches Paket wartet

27 NAT vs. PAT NAT, wenn die Zahl der IP-Adressen für eine 1-zu-1 Übersetzung ausreicht PAT, wenn die Zahl der IP-Adressen begrenzt ist und eine 1:n Kommunikation erlaubt wird

28 NAT Nutzen Macht eine Neuzuweisung von IP-Adressen bei einem Wechsel des Providers überflüssig Nutzt Adressraum besser aus, da weniger offizielle IP-Adressen benötigt werden, als Hosts im internen Netz existieren. Verbessert die Netzwerksicherheit, da für Außenstehende die Struktur des internen Netzes verborgen bleibt

29 NAT und PAT Konfiguration

30 NAT Konfiguration

31 PAT Konfiguration

32 NAT and PAT Verifikation

33 Troubleshooting NAT und PAT

34 DHCP DHCP liefert als Serverdienst eine IP-Adresse an Clients. Diese Information wird nur für eine bestimmte Zeit geleast.

35 BOOTP und DHCP Unterschiede DHCP verleiht eine IP-Adresse für ein Zeitintervall, d.h. der Server kann die gleiche Adresse erneut an den Client vergeben oder auch einer anderen Station zuweisen. DHCP liefert einen Mechanismus um weitere Informationen wie Konfigurationsparameter für IP weiterzugeben. BOOTP unterstützt dagegen ein festes Mapping, d.h. eine unverrückbare Adresszuweisung

36 DHCP Merkmale DHCP erlaubt eine automatische, eine manuelle oder eine dynamische Konfiguration

37 DHCP Ablauf

38 DHCP Verbindungsaufbau

39 DHCP Konfiguration

40 DHCP Konfiguration mit Adressausschluss

41 DHCP Verifikation

42 DHCP Troubleshooting