TCP a firevall Centrum pro virtuální a moderní metody a formy vzdělávání na Obchodní akademii T.G. Masaryka, Kostelec nad Orlicí Autor: horak@oakostelec.cz 10.4.2017

(nejčastěji Ethernet) ISO/OSI a TCP/IP ISO / OSI Aplikace … TCP / IP  Aplikační SMTP Transformační HTTP POP 3 Relační Transportní TCP UDP Síťová ICMP IP IGMP Linková Zajišťuje hardware (nejčastěji Ethernet) Fyzická

Aplikační vrstva Je tvořena sadou aplikačních protokolů, jimiž komunikují aplikace s transportní vrstvou (tedy s protokolem TCP, UDP) Každý aplikační protokol má své číslo a komunikuje s transportní vrstvou bránou (portem) stejného čísla Pojem protokol a port splývá

Základní rozdělení portů

Transportní vrstva Je jádrem celé soustavy TCP / IP a skládá se ze dvou protokolů: TCP – spolehlivé spojení (kontrola, zda data byla doručena k cíli), velká režie UDP – nespolehlivé spojení, nenáročný, rychlý

Srovnání TCP a UDP

Síťová vrstva Je tvořena mnoha protokoly, pro firewall mají význam: IP - přenosový protokol, který používají protokoly vyšší vrstvy, pracuje s logickými adresami ICMP (Internet Control Message Protocol) – šíří se prostřednictvím protokolu IP a podává zprávu o stavu (potížích) v síti IGMP (Internet Group Management Protocol) - šíří se prostřednictvím protokolu IP a zajišťuje přiřazování do skupin pro multicasting (současné vysílání více stanicím)

Třídy sítí IP IP adresa tedy popisuje síť a uzel v této síti IP adresy jsou rozděleny do tříd A,B,C. Třídy se liší tím, kolik byte je vyhrazeno pro adresu sítě a kolik pro adresu uzlu

IP a lokální sítě Původně byl systém TCP/IP vyvinut pro internet Postupně se začal používat také v lokálních sítích Aby nedocházelo ke konfliktům mezi adresami v internetu a lokálních sítích, byly pro IP adresy lokálních sítí rezervovány rozsahy:

ICMP Používá se pro řízení provozu v síti

Tvar IP packetu Při filtrován dat se analyzuje obsah IP packetu, proto je nutné znát strukturu IP packetu IP packet může přenášet různé protokoly (TCP, UDP, ICMP, ARP…) IP packet vystupuje ze síťové vrstvy a vstupuje do linkové. Zde je zapouzdřen do přenosového rámce (nejčastěji Ethernetového)

Shrnutí referenčního modelu OSI - zapouzdření Data putují jednotlivými vrstvami a v každé vrstvě se přidají určité řídící informace - záhlaví (mechanismus zapouzdření) data – segment – paket – rámec – bity data SEGMENT - transportní vrstva (TCP nebo UDP) PACKET - síťová vrstva (IP) RÁMEC - linková vrstva (Ethernet) BITOVÝ TOK - vytvoří fyzická vrstva

IP packet Obecně lze IP packet rozdělit na: Hlavičku – údaje nutné pro pohyb packetu, tu firewally nejčastěji kontrolují Data – přenášená data, ty většina firewallů neprohlíží IP packet je zapouzdřený do rámce, většinou Ethernetového a sám v sobě nese segmenty protokolu TCP, UDP, ICMG… Ethernetový rámec IP packet hlavička Segment (např TCP) hlavička data data

IP packet a firewall Z hlediska firewallu nás na IP packetu zajímají především: Typ protokolu přenášeného uvnitř packetu Zdrojová IP adresa Cílová IP adresa Číslo zdrojového portu Číslo cílového portu IP packet hlavička Segment (např. TCP) hlavička data data

IP packet podrobně standardně je délka hlavičky 20B (byte, bajt) = 160b (bite, bit) (32 * 5 / 8) Ale může být velká až 60B

Centrum pro virtuální a moderní metody a formy vzdělávání na Obchodní akademii T.G. Masaryka, Kostelec nad Orlicí Použité materiály: Rita Pužmanová: TCP/IP v kostce Jaroslav Horák: Bezpečnost malých počítačových sítí 10.4.2017