Kommunikation im lokalen Netz

Transkript

1 Kommunikation im lokalen Netz Ein einfaches lokales Netz stellt man sich als Gebilde vor, in dem mehrere Computer oder andere Netzwerk-Endgeräte über einen oder mehrere e miteinander verbunden sind. In einem solchen Netz haben alle Endgeräte (, Drucker, etc.) die gleiche logische Netzadresse (Netzanteil der IP-Adresse) und unterschiedliche Hostadressen. Typisch an einem solchen Netz ist, dass jeder Computer mit jedem anderen Computer auf IP-Ebene direkt kommunizieren kann, ohne dass eine Vermittlungsinstanz (Router) dazwischen geschaltet ist. Die Computer finden einander durch Rundrufe (Broadcasts), die von den en an alle Endgeräte weitergeleitet werden. Daher werden solche Netze Broadcastdomänen genannt. Server Alle haben die gleiche Netzadresse ( ) und unterschiedliche Hostadressen (10, 11, 15) Im lokalen Netz werden IP-Pakete in Ethernet-Frames verpackt und durch das Netz geschickt. Dazu benötigt der absendende die Hardware- bzw. MAC-Adresse des Zielrechners. Ist diese nicht bekannt, so wird sie zunächst über einen Broadcast mit Hilfe des Address-Resolution-Protocol (ARP) ermittelt. Ziel- MAC Quell- MAC Typ IP-Paket - 7 -

2 Kommunikationsprozess: Schickt 1 ( ) ein IP-Paket an 2 ( ), werden folgende Schritte ausgeführt: 1. 1 erkennt an der IP-Adresse von 2 und seiner eigenen Subnetzmaske, dass sich 2 im gleichen Netz befindet. Zur direkten Kommunikation benötigt er nun die MAC-Adresse von sendet einen Broadcast ins Netz und fragt an, welcher die IP-Adresse hat (ARP-Request) fühlt sich angesprochen und sendet eine Antwort direkt an 1 (Unicast), bei der er seine Hardwareadresse (MAC-Adresse) bekannt gibt (ARP-Reply) packt das IP-Paket in einen Ethernet-Frame, den er mit der MAC-Adresse von 2 adressiert und schickt diesen los. Eventuell sind auf dem Weg von 1 zu 2 einige Hubs oder e dazwischengeschaltet. Diese leiten den Ethernet-Frame nur weiter und spielen für diese Betrachtungen keine Rolle sieht anhand der MAC-Adresse, dass der Ethernet-Frame für ihn bestimmt ist und nimmt ihn in Empfang. 6. Alle anderen, die den Ethernet-Frame auch empfangen (z. B. durch dazwischengeschaltete Hubs) ignorieren diesen. Computer in der gleichen Broadcastdomäne können sich voreinander nicht verstecken. Auch wenn ein Computer eine lokale Firewall installiert hat, die nicht einmal auf einen Ping antwortet, muss dieser Computer zumindest auf die ARP-Anfrage jedes beliebigen anderen Computers antworten und ist damit erkennbar. C:\>ping Ping wird ausgeführt für mit 32 Bytes Daten: Ping-Statistik für : Pakete: Gesendet = 4, Empfangen = 0, Verloren = 4 (100% Verlust), C:\>arp -a Schnittstelle: Internetadresse Physikal. Adresse Typ c6-42-5d dynamisch Am dargestellten Auszug erkennt man, dass der Computer auf einen Ping nicht antwortet. Trotzdem war die ARP-Anfrage erfolgreich und der Computer 2 hat darauf mit der Bekanntgabe seiner MAC-Adresse reagiert

3 Kommunikation zwischen Netzen Lokale Netze können in mehrere voneinander geschützte Teilnetze unterteilt werden. Jedes dieser Teilnetze ist ein eigenes Netz (Broadcastdomäne). Die jeweilige Schnittstelle des Routers ist das Standardgateway für die Computer im jeweiligen Netz. Neben der Größe spielen für die Trennung vor allem Sicherheitsaspekte eine Rolle (z. B. Unterrichtsnetz, Verwaltungsnetz) /24 Router /24 A /24 B C : /24 2: /24 3: /24 4: /24 5: /24 6: /24 7: /24 8: /24 Die Grafik zeigt drei getrennte Netze, die über einen Router verbunden sind. Bei den s und bei den Router-Schnittstellen sind die IP-Adressen und Subnetzmasken angegeben. Will im obigen Beispiel 1 ein IP-Paket an 4 senden, so erkennt 1 aus der Kombination seiner eigenen IP-Adresse, seiner Subnetzmaske und der IP-Adresse von 4, dass sich dieser nicht im eigenen Teilnetz befindet. 1 sendet das IP-Paket deshalb an den Router. Die IP-Adresse der jeweiligen Routerschnittstelle ist als Standardgateway ( ) in der IP-Konfiguration von 1 eingetragen. Die Kommunikation über Netzgrenzen hinweg, wird durch Router vermittelt. Die beteiligten Computer kennen nur die IP-Adresse ihrer jeweiligen Routerschnittstelle (Standardgateway)

4 Netzadressübersetzung Die Netzadressübersetzung wurde entwickelt, um allen Clients aus einem internen Netz einen Internetzugang über eine einzige öffentliche IP-Adresse zu ermöglichen. Bezeichnungen für die Netzadressübersetzung sind NAT, NAT/PAT, NAT/Overload, dynamisches NAT oder Masquerading. NAT PAT Network Address Translation Port Address Translation Router Internet In der obigen Skizze hat nur der Router eine öffentliche IP-Adresse (), die aus dem Internet erreichbar ist. Jedes IP-Paket aus dem internen Netz in das Internet muss mit dieser Absendeadresse versehen werden Im folgenden Beispiel sendet der interne Client ( ) eine http-anfrage an den Webserver. Als Absendeport verwendet der Client den Port Der Router tauscht die durch seine eigene öffentliche IP-Adresse und gegebenenfalls den Absendeport durch einen noch freien Port aus Daten Daten Wenn der Webserver antwortet, erhält der Router das an ihn gerichtet Antwortpaket. Der Router hat sich gemerkt, welche Adressübersetzungen er gemacht hat und kann deshalb im Antwortpaket die entsprechenden Adressübersetzungen bei den Zieladressen vornehmen

5 23176 Daten Daten Der Router muss eine Übersetzungstabelle führen, damit er die ankommenden Pakete richtig zuordnen kann. Beispiel einer NAT/PAT-Tabelle Inside local Inside global Outside :1060 :23176 : :1061 :23177 : :1043 : : Die erste Zeile in der Übersetzungstabelle entspricht dem obigen Beispiel. Der interne bekommt von dieser Netzadressübersetzung nichts mit und empfängt seine Daten wie gewohnt. Einfache Homerouter können ca Tabelleneinträge für NAT/PAT speichern und blockieren, wenn dieser Speicher überläuft. Ein WWW-Browser kann beim Anwählen einer komplexeren Seite bereits mehr als 10 gleichzeitige Internetverbindungen öffnen. Dies bedeutet, dass einfache Homerouter an Schulen an Grenzen stoßen können. Peer-to-peer-Software wie Bittorrent oder Emule öffnen oft einige hundert Verbindungen gleichzeitig. Ein willkommener Nebeneffekt ist, dass die NAT/PAT-Adressübersetzung wie eine Firewall wirkt, da aus dem Internet kommende IP-Pakete den Router nur passieren können, wenn diese IP-Pakete Teil einer Session sind, die aus dem internen Netz initiiert wurde. Damit ist ein Client im internen Netz aus dem Internet praktisch nicht angreifbar